In der Woche vom 29. Juni bis 5. Juli 2026 ging es um die zwei Hälften eines Deployments: es rauszubringen und es zurückzunehmen. CloudFormation Express Mode gibt die Kontrolle bis zu 4x früher zurück, indem es ein Deployment für abgeschlossen erklärt, sobald die Konfiguration angewendet ist, statt wenn jede Ressource stabilisiert ist, mit Rollback standardmäßig aus. Amazon EKS lässt dich ein Kubernetes-Versions-Upgrade innerhalb von sieben Tagen rückgängig machen. ECS hat seinen Circuit Breaker konfigurierbar gemacht. Und ACM spricht jetzt ACME und bringt öffentliche Zertifikate auf Hosts, die der Load Balancer nie erreicht.

Unter den Launches hat ein Service Availability Update vom 30. Juni ein Dutzend Services und Features ab 30. Juli in die Wartung geschickt. Diese Liste verdient einen Kalendereintrag mehr als jeder Launch dieser Woche.

CloudFormation Express Mode: "complete" bedeutet jetzt etwas anderes

CloudFormation und CDK Express Mode sind am 30. Juni in allen kommerziellen Regionen ohne Aufpreis gestartet. Ein Deployment ist fertig, sobald CloudFormation bestätigt, dass die Ressourcenkonfiguration angewendet ist, und überspringt die ausgedehnten Stabilisierungsprüfungen; Ressourcen werden im Hintergrund weiter betriebsbereit. Aktiviere es pro Operation mit --deployment-config '{"mode": "EXPRESS", "disableRollback": true}' bei Create, Update oder Delete, oder mit cdk deploy --express. Nested Stacks erben den Modus des Parents. Das Beispiel des Beitrags: Das Löschen einer Lambda-Funktion mit VPC-Netzwerkschnittstelle fällt von 20 bis 30 Minuten auf unter 10 Sekunden.

Lies den Flag-Namen noch einmal: Rollback ist im Express Mode standardmäßig deaktiviert; setze disableRollback für Produktion auf false. Die größere Änderung ist semantisch. Jede CI-Pipeline, die einen Smoke Test ausführt, sobald deploy zurückkehrt, hat sich auf die Stabilisierung als implizites Readiness-Gate verlassen. Im Express Mode ist dieses Gate weg, sodass der Smoke Test gegen die Ressource rennen kann, die er testet. AWS sagt das direkt: Nutze den Standardmodus, wenn Ressourcen betriebsbereit sein müssen, bevor sie Traffic bekommen. Express Mode gehört zuerst in Dev-Loops und kurzlebige Review-Umgebungen.

Der Begleit-Launch, Pre-Deployment Validation auf allen Stack-Operationen (30. Juni), ist standardmäßig an: Syntaxfehler in Properties, Namenskonflikte und Constraints für nicht-leere S3-Buckets werden bei CreateStack und UpdateStack gefangen, bevor irgendeine Ressource angefasst wird, wo bisher nur die Change-Set-Erstellung sie ausgeführt hat, und Change Sets warnen jetzt vor Quota-Limits, Config-Recorder-Konflikten und ECR-Repositories, die noch Images halten. cdk deploy und cdk validate zeigen die Ergebnisse mit Tracing auf Construct-Ebene. Wenn du einer IaC-First-Regel folgst, sind diese beiden zusammen die größte Änderung an deinem Inner Loop seit Change Sets.

EKS-Versions-Rollback: sieben Tage, um es dir anders zu überlegen

Amazon EKS unterstützt jetzt Kubernetes-Versions-Rollbacks (1. Juli): Innerhalb von sieben Tagen nach einem Upgrade kannst du einen Cluster auf seine vorherige Minor-Version zurücksetzen, einen Schritt auf einmal, ohne Aufpreis, in jeder kommerziellen Region, auf Standard oder Extended Support. Cluster Insights prüfen zuerst Node-Kompatibilität und Add-on-Abhängigkeiten; --force umgeht sie. Control-Plane-Rollback funktioniert auf allen Clustern. Node-Rollback gibt es nur auf EKS Auto Mode, wo Control Plane und Nodes gemeinsam zurückrollen und dabei Pod Disruption Budgets respektieren, mit einer Cancel-API. Der Control-Plane-Rollback des Autors hat etwa 20 Minuten gedauert, der Cluster war durchgehend funktionsfähig.

Bei Managed und Self-Managed Node Groups kann die Control Plane zurück und deine Nodes nicht, also ist das Sieben-Tage-Fenster in Wirklichkeit ein Takt aus "Control Plane zuerst, Nodes nach ein paar Tagen Vertrauen". Die Frage, die der Beitrag nicht beantwortet und die du in Staging testen solltest, ist, was in diesem Fenster mit Objekten passiert, die gegen APIs erstellt wurden, die nur in der neueren Version existieren.

Im selben Geist: Die Einstellungen des ECS Deployment Circuit Breaker sind jetzt konfigurierbar (1. Juli): ein Schwellwert als feste Task-Anzahl oder Prozentsatz des Desired Count und eine Wahl zwischen aufeinanderfolgenden Fehlern (Zähler setzt sich bei einem gesunden Task zurück) und kumulativen. Unterstützt in CloudFormation, CDK und Terraform, für neue und bestehende Services.

ACME in ACM: öffentliche Zertifikate, wo ALB nicht hinkommt

AWS Certificate Manager unterstützt jetzt ACME (30. Juni, alle kommerziellen Regionen; GovCloud, China und die European Sovereign Cloud folgen). Du erstellst einen ACME-Endpunkt, richtest Certbot, acme.sh oder cert-manager auf https://acm-acme-enroll.us-east-1.api.aws/<ENDPOINT_ID>/directory und registrierst den Client mit External-Account-Binding-Credentials aus der Console. Domains werden einmal validiert, auf Endpunkt-Ebene, per DNS CNAME (für Route-53-Zonen automatisch erstellt), sodass Anwendungs-Owner nie DNS-Zugriff brauchen, und jeder Endpunkt erlaubt oder verweigert Exact-Domain-, Subdomain- und Wildcard-Scopes. Die Zertifikate kommen von Amazon Trust Services; der Preis gilt pro Domain pro Ausstellung.

ACM war kostenlos und mühelos für alles, was auf ALB, CloudFront oder API Gateway terminiert, und nutzlos für alles andere: ein EC2-Host, der TLS ausliefert, ein Container mit mTLS, eine On-Premises-Kiste. Das war Let's-Encrypt-Territorium, mit den Cron-Jobs und DNS-Plugins, die dazugehören. Der Trade-off ist Geld: Let's Encrypt ist kostenlos, ACM ACME kostet pro Domain bei Ausstellung, und die Gültigkeitsverkürzungen des CA/Browser Forum (100 Tage ab März 2027, 47 Tage bis 2029) multiplizieren die Ausstellungen. Kombiniere es mit dem Workload Credentials Provider von vor drei Wochen, und die On-Host-Zertifikatsgeschichte ist komplett.

Die Wartungsliste

Die Service Availability Updates vom 30. Juni schicken diese in die Wartung, ohne neuen Kundenzugang ab 30. Juli 2026: Amazon Bedrock Agents (die Version vom November 2023, jetzt "Agents Classic"), Cognito Sync, Kendra, Q Business, Directory Service Simple AD, Mainframe Modernization Self-Managed Experience, Console myApplications, Resource Groups Group Lifecycle Events, Service Catalog Application Registry, Systems Manager Application Manager und neun SageMaker-AI-Features inklusive Clarify, Debugger, Ground Truth und Model Monitor. IoT Device Defender Detect folgt am 31. August. In den Sunset gehen: WorkSpaces PCoIP, WorkSpaces Pools, AMS Advanced, re:Post Private und SageMaker Profiler. Der AMS-Advanced-Plan ist explizit: keine neuen Landing Zones nach dem 30. Juni 2026, vollständige Abschaltung am 30. Juni 2027, mit AMS Accelerate als vorgeschlagenem Ziel.

Zwei Migrationshinweise. Dass Simple AD in die Wartung geht, heißt, dass das günstige Verzeichnis, das viele kleine Landschaften für WorkSpaces und RDS-SQL-Server-Auth genutzt haben, einen Plan braucht. Und dass die Mainframe Modernization Self-Managed Experience schließt, während AWS Transform for mainframe einen Reimagine-Pfad hinzufügt, sagt dir, welche Mainframe-Strategie AWS finanzieren will.

Auch diese Woche

Der rote Faden

AWS hat diese Woche damit verbracht, den Undo-Knopf echt zu machen: eine Kubernetes-Version, die du zurücknehmen kannst, ein Circuit Breaker, den du einstellen kannst, ein Deployment-Modus, der früh zurückkehrt und das auch sagt. Die Wartungsliste ist dieselbe Idee, angewandt auf AWS' eigenes Portfolio. Beides verlagert eine Entscheidung auf dich: Express Mode fragt, ob deine Pipeline weiß, was "ready" bedeutet, und die Wartungsliste fragt, ob deine Landschaft noch auf etwas läuft, in das AWS nicht mehr investiert. Beantworte beides vor dem 30. Juli.

Lies das als Nächstes

Die Agenten- und Modell-Ankündigungen der Woche, Sonnet 5 und WorkSpaces for agents darunter, werden auf ercan.ai behandelt. Für Consulting zu AWS, Cloud, CI/CD-Pipelines, Linux, GitHub/GitLab und mehr ist ercanermis.com die Anlaufstelle.

Referenzen