Die Woche vom 5. Oktober 2026 hatte zwei Stränge, die die Aufmerksamkeit eines Plattform-Teams verdienen: AWS Transform hat gelernt, Microsoft-Hyper-V-Landschaften zu inventarisieren, ohne irgendetwas auf den Hosts zu installieren, und eine Reihe kleinerer Launches hat Identitäts- und Zertifikatskontrollen in Schichten gedrückt, die bisher dem Netz vertraut haben, in dem sie saßen. Lambdas Kafka Event Source Mappings akzeptieren OAuth, das Verzeichnis von IAM Identity Center kann Requests ablehnen, die deine VPC Endpoints umgehen, öffentliche ACME-Ausstellung läuft über PrivateLink, und GuardDuty liest PostgreSQL-Queries statt nur Logins. Nichts davon ist eine Schlagzeile. Zusammen sind sie die Woche.

Der Migrationstisch: Hyper-V bekommt agentenlose Discovery

Am 7. Oktober hat AWS Discover and migrate Microsoft Hyper-V workloads with AWS Transform veröffentlicht, als Ankündigung eingeordnet. Das Transform-Discovery-Tool registriert jetzt jeden Hyper-V-Host als Quelle, verbindet sich über WinRM und liest vCPU, Speicher, Disks, Netzwerkadapter, Power State und Failover-Cluster-Mitgliedschaft jeder VM. Die Erfassung wiederholt sich stündlich, geclusterte VMs werden dedupliziert, und System Center Virtual Machine Manager ist nicht erforderlich. Das Tool wird als VHD-Appliance ausgeliefert, die auch aus vCenter und per CSV importiertem Bare Metal sammelt, sodass eine gemischte Landschaft ein Inventar bekommt. Mit Gast-Credentials ergänzt es 10-Minuten-Performance-Samples, Netzwerkverbindungen fürs Dependency Mapping und SQL-Server- und Oracle-Details und speist die übliche Kette: TCO-Case mit EC2-Dimensionierung aus gemessener Auslastung, Wave-Plan, Landing Zone.

Der Umzug selbst ist weiterhin AWS Transform MGN auf der Gast-OS-Ebene, was einen Replikationsagenten auf jedem Quellserver bedeutet. Discovery ist agentenlos; Migration nicht, und die Change-Freigaben für den Agenten-Rollout sind der Teil, der Kalenderzeit frisst.

Zwei Begleitbeiträge sind in derselben Woche gelandet. When to use what: A guide to AWS Transform interfaces (9. Oktober) ist die erste klare Karte von Console, Kiro und anderen KI-IDEs, der atx-CLI mit nicht-interaktiven -x -t-Flags für Pipelines und dem MCP Server. Lies ihn, bevor du einen Einstiegspunkt wählst: Die CLI deckt nur Custom Transformations ab. Und Run least-privilege AWS DMS CDC migration from SQL Server (6. Oktober) ist die Berechtigungsbeschreibung, mit der jedes DMS-Projekt hätte beginnen sollen.

OAuth erreicht Lambdas Kafka-Consumer

Am 9. Oktober hat AWS Lambda OAuth-Authentifizierung für Event Source Mappings auf selbst verwaltetem Apache Kafka hinzugefügt. Bis jetzt konnte sich ein Kafka-ESM mit SASL/PLAIN, SASL/SCRAM oder mTLS authentifizieren, sonst nichts. Teams, deren Cluster an einen reinen OAuth-IdP gebunden waren (Okta, Cognito), konnten das ESM gar nicht nutzen, also betrieben sie eine eigene Consumer-Flotte und verloren Skalierung, Batching, Filterung und Fehlerbehandlung, die das ESM kostenlos liefert. Es funktioniert für selbst gehostete Cluster und für Confluent Cloud, Aiven und Redpanda.

Der Trade-off: Deine Consumer-Identität ist jetzt ein Token mit Lebensdauer, sodass ein IdP-Ausfall als stehengebliebenes Event Source Mapping auftaucht statt als Login-Fehler, den jemand beobachtet. Lege die OffsetLag-Metrik des ESM auf einen Alarm, bevor du die Auth-Methode umschaltest, nicht danach.

Die Identitäts- und Zertifikatsebene wird privat

Drei Launches am 5. und 6. Oktober teilen eine Form. IAM Identity Center unterstützt jetzt Netzwerkzugriffskontrollen für Identity Store: Du kannst verlangen, dass Identity-Store-API-Aufrufe nur über erlaubte VPC Endpoints in deinem Account oder deiner Organisation ankommen, und die SCIM-API einschränken, die dein externer IdP zum Synchronisieren von Nutzern und Gruppen nutzt. Das Verzeichnis, das definiert, wer deine Workforce ist, wird nur noch von dort erreichbar, wo du es sagst.

ACM unterstützt jetzt ACME-Ausstellung über AWS PrivateLink. Erstelle einen VPC Interface Endpoint zum ACM-ACME-Service, und Private DNS löst deine bestehende ACME-Directory-URL darauf auf, sodass jeder ACMEv2-Client öffentliche Zertifikate ohne Internetpfad und ohne Client-Änderungen erneuert. Für Hosts in privaten Subnetzen, die eine NAT-Route nur zum Erneuern von Zertifikaten behalten, ist das eine ganze Egress-Ausnahme weniger.

AWS Private CA liefert jetzt detaillierte Logs zur Zertifikatsausstellung: ein CloudTrail-Service-Event, IssueCertificateDetails, mit dem vollständigen Zertifikatsinhalt, der ausstellenden CA, der Identität des Anfragenden und dem Signierstatus für jede Ausstellung, inklusive solcher, die vor dem Signieren fehlgeschlagen sind. Das alte Management-Event gab dir eine ARN. Wenn du eine Algorithmus-Migration verfolgst oder ein Zertifikatsinventar brauchst, das kein Spreadsheet ist, ist das die Quelle der Wahrheit, die dir gefehlt hat.

Behandle diese als ein Change Set: Identity Store und SCIM hinter VPC Endpoints, ACME über PrivateLink, Ausstellungs-Logs in den Audit-Account. Der Failure Mode, für den du planen musst, ist der Break-Glass-Pfad. Wenn die Endpoint Policy falsch ist, stoppt der SCIM-Sync lautlos, und der Fehler taucht zwei Tage später als "user not found" in einer unverwandten Anwendung auf.

GuardDuty liest die Queries, nicht nur die Logins

Am 8. Oktober hat GuardDuty RDS Protection die Erkennung auf Datenexfiltration und -zerstörung ausgeweitet, auf Aurora PostgreSQL und RDS for PostgreSQL. Bisher hat es Login-Anomalien betrachtet. Jetzt bildet es eine Baseline der Datenaktivität und markiert ungewöhnlichen Zugriff per Anomalieerkennung plus Threat Intelligence, ohne Agenten und ohne Datenbankänderungen. Die Lücke, die es schließt, ist die, die jeder Post-Incident-Report erwähnt: Sobald ein Angreifer gültige Credentials hält, sehen seine Queries genau wie die der Anwendung aus. Login-Monitoring sieht nichts. Query-Shape-Monitoring hat zumindest eine Chance.

Auch diese Woche

Der rote Faden

Jahrelang war das Muster: den Nutzer am Edge authentifizieren, dann dem Netz dahinter vertrauen. Diese Woche hat AWS die Prüfung weiter nach innen verschoben. Die Verzeichnis-API will wissen, durch welchen VPC Endpoint du gekommen bist. Die Zertifikatserneuerung verlässt die VPC nie. Der Kafka-Consumer trägt ein IdP-Token. Das Datenbank-Bedrohungsmodell geht davon aus, dass das Credential bereits gestohlen ist, und schaut, was die Queries tun. Auf der Migrationsseite liest Transform Hyper-V-Hosts über WinRM, statt Agenten zu setzen, derselbe Instinkt, angewandt auf die Landschaft, die du verlässt. Die Zahl der Stellen, an denen "es ist innerhalb des Netzes" als Antwort zählt, ist wieder geschrumpft.

Lies das als Nächstes

Für die Modell- und Agenten-Lesart derselben Woche leben die KI-Field-Notes auf ercan.ai. Der Hub, inklusive Consulting zu AWS, Cloud, CI/CD-Pipelines, Linux, GitHub/GitLab und mehr, ist ercanermis.com.

Referenzen