In der Woche vom 10. August ging es darum, dass AWS Entscheidungen übernimmt, die Plattform-Teams früher von Hand getroffen haben, und zwei davon verdienen einen zweiten Blick, bevor du den Default akzeptierst. EC2 Application Status Checks lassen EC2 selbst einen HTTP-Endpunkt auf deiner Instance prüfen und das Ergebnis an Auto Scaling geben, und IAM Role Manager ist GA geworden und erstellt die IAM-Rollen, die ein Service braucht, während du dich durch seine Console klickst. Ebenfalls diese Woche: ACM hat Daten für das Ende der E-Mail-Validierung genannt, und MSK hat gelernt, einen Cluster in place von ZooKeeper nach KRaft zu migrieren. Kein AWS-Transform-Launch diese Woche; die Modernisierungsthemen waren der MSK-Punkt und ein leiserer Fix in Elastic Disaster Recovery.

EC2 Application Status Checks: Health ohne Load Balancer

Bis jetzt hatte EC2 zwei Status Checks: System (der Host) und Instance (das Gast-OS). Der neue Application Status Check fügt eine dritte Ebene hinzu. Du definierst Protokoll, Port und Pfad plus die Response-Codes, die als gesund zählen, verknüpfst den Check per ID oder Tag mit Instances, und EC2 sendet alle 60 Sekunden einen HTTP- oder HTTPS-Request und meldet das Ergebnis neben den anderen beiden. Auto Scaling Groups können Instances ersetzen, die ihn nicht bestehen. Alle kommerziellen Regionen und GovCloud (US).

Die naheliegende Frage ist, warum du das willst, wenn die ALB Target Group denselben Pfad schon health-checkt. Die Antwort ist jede Instance, die nicht hinter einem Load Balancer steht: Worker, die aus SQS ziehen, Scheduler, ein Docker-Host, dessen Daemon gestorben ist, während die Instance weiter auf ICMP antwortet. Diese Kisten sind heute nach jedem Signal, das EC2 hat, "gesund", und der On-Call erfährt das Gegenteil von einem Kunden. Der Failure Mode, für den du designen musst, ist der umgekehrte: Ein Health-Endpunkt, der von einem Downstream abhängt (einer Datenbank, einem Cache), nimmt die ganze Flotte mit, wenn der Downstream kurz wackelt, weil die ASG Instances ersetzt, die in Ordnung waren. Halte den geprüften Pfad flach, und weil Tag-basierte Verknüpfung bedeutet, dass ein Tippfehler im Tag die halbe Flotte lautlos ungeprüft lassen kann, auditiere nach dem Rollout mit aws ec2 describe-instance-status.

IAM Role Manager: bequem, und der Lambda-Default ist breit

Role Manager beobachtet, was du in einer unterstützten Console einrichtest (sechs zum Start, Lambda und EventBridge darunter), und erstellt entweder eine Default-Rolle oder verwendet eine bestehende im Account wieder, die bereits passt, über die neue AcquireRole-API, abgeglichen gegen AWS-verwaltete Rollen-Templates. Die Rollen sind gewöhnliche IAM-Rollen unter deiner vollen Kontrolle, es ist eine Einstellung auf Account-Ebene in der IAM Console, und sie ist in Accounts, die mit der neuen AWS-Erfahrung erstellt wurden, standardmäßig aktiviert. Nicht verfügbar in GovCloud (US) oder China.

Das Detail, das deine Entscheidung bestimmen sollte, steht im Beitrag im Security Blog: Weil die Berechtigungen einer Lambda-Funktion nicht bekannt sein können, bevor der Code existiert, trägt die Rolle, die sie bekommt, PowerUserAccess, was IAM, Organizations und Account-Einstellungen ausschließt, aber alles andere einschließt. AWS' Antwort ist, später IAM Access Analyzer laufen zu lassen und sie einzuengen. Das ist eine vernünftige Developer-Sandbox-Geschichte und eine schlechte Produktionsgeschichte, denn "später" ist der Schritt, der nie ausgeliefert wird. Wenn deine Accounts Rollen bereits über Terraform oder CDK provisionieren, schalte es aus, und nutze eine SCP, damit Mitglieds-Accounts es nicht wieder einschalten können; der Beitrag bestätigt, dass SCPs es sperren können. Wenn du es für Sandboxes an haben willst, kombiniere es mit dem Account Access Manager derselben Woche, der IAM-Rollen in einem Account Identity-Center-Nutzern und -Gruppen zuweist, damit zumindest die Menschen, die diese breiten Rollen halten, föderiert sind.

ACM-E-Mail-Validierung endet 2027, und die Daten sind gestaffelt

Nach der Entscheidung des CA/Browser Forum vom November 2025 wird ACM E-Mail-validierte öffentliche Zertifikate in drei Schritten einstellen: keine E-Mail-Validierung in neuen Regionen nach dem 1. Januar 2027, keine neuen E-Mail-validierten Anträge irgendwo nach dem 31. März 2027 und keine Erneuerungen bestehender E-Mail-validierter Zertifikate nach dem 30. September 2027. Vor der Branchenfrist ausgestellte Zertifikate bleiben bis zum Ablauf gültig, an dem Tag bricht also nichts; was bricht, ist die Erneuerung ein Jahr später, bei einem Zertifikat, an dessen Beantragung sich niemand erinnert.

Die Migration ist billig, wenn du sie jetzt machst. Filtere die ACM Console nach Validierungsmethode Email und Typ Amazon Issued, oder skripte es, und stelle dann jedes Zertifikat in place mit aws acm update-certificate-options um, was die ARN behält, sodass kein Listener und keine Distribution bearbeitet werden muss. Füge den CNAME innerhalb des 72-Stunden-Fensters hinzu, und ACM erneuert mit der neuen Methode. HTTP-Validierung gibt es auch, aber nur für CloudFront. Behandle das als Q3-Ticket, nicht als 2027-Ticket.

MSK: ZooKeeper nach KRaft ohne neuen Cluster

Kafka 3.9.x ist die letzte Linie, die ZooKeeper unterstützt, und Kafka 4.x ist nur KRaft, also hat jeder provisionierte MSK-Cluster, der noch auf ZooKeeper läuft, eine Migration vor sich. MSK macht sie jetzt in place: keine neue Infrastruktur, keine Datenkopie, keine Client-Rekonfiguration, und der Cluster bleibt laut AWS durchgehend verfügbar. Du musst zuerst auf 3.9.x sein. Verfügbar überall, wo provisioniertes MSK läuft, außer in der European Sovereign Cloud. Das ist die Art Modernisierung, die nie priorisiert wird, weil kein Feature daran hängt, und genau deshalb zählt ein Ein-Knopf-Pfad: Er macht aus einem Quartalsprojekt ein Change Window.

Auch diese Woche

Der rote Faden

Application Status Checks und Role Manager sind derselbe Zug in zwei Richtungen. Der eine lässt EC2 deine Anwendung beobachten, damit es für dich handeln kann; der andere lässt IAM für dich handeln, bevor du irgendetwas beobachtet hast. Der erste ist ein guter Tausch, weil der Blast Radius eines schlechten Health Checks eine Flotte ist und er laut ist. Der zweite ist ein schlechterer Tausch, weil der Blast Radius einer breiten Rolle der Account ist und er still ist. Die ACM-Frist und die MSK-Migration erinnern daran, dass die unglamouröse Hälfte der Plattformarbeit, Erneuerungen und Versionsuntergrenzen, der Ort ist, an dem die echten Ausfälle wohnen. Trag die drei datierten Punkte diese Woche in den Kalender ein und streite über Role Manager in Ruhe.

Lies das als Nächstes

Für die KI- und Agenten-Lesart derselben Woche leben die Field Notes auf ercan.ai. Consulting zu AWS, Cloud, CI/CD-Pipelines, Linux, GitHub/GitLab und mehr läuft über ercanermis.com.

Referenzen