Die Woche vom 1. bis 7. Juni 2026 hat zwei lang bestehende Gründe beseitigt, einen Workload dort zu lassen, wo er ist: die SQL-Server-Lizenz, die Datenbanken an EC2 gebunden hat, und den Cognito User Pool, der eine Anwendung an eine einzige Region gebunden hat. Keiner der beiden Launches ist glamourös. Beide verändern ein Migrationsgespräch, das früher mit "wir können nicht, weil" endete.

Darunter hat Kubernetes 1.36 Amazon EKS erreicht, mit User Namespaces als generally available, Fargate ist auf Tasks mit 32 vCPUs gewachsen, und der Cost and Usage Report landet endlich ohne selbstgebaute Pipeline in Athena und Redshift. Zusammen gelesen war es eine Woche für die Rohrleitungen, und Wochen für die Rohrleitungen sind die, in denen Plattform-Teams echtes Geld sparen.

RDS for SQL Server: bring die Lizenz mit, die du schon bezahlt hast

Amazon RDS for SQL Server unterstützt jetzt Bring Your Own Media, veröffentlicht am 2. Juni. Kunden, die von On-Premises, aus einer anderen Cloud oder von selbst verwaltetem SQL Server auf EC2 kommen, können auf RDS laufen und dabei bestehende SQL-Server-Lizenzen weiterverwenden, inklusive Software Assurance, über Microsofts License-Mobility-Programm. Die Lizenznutzung wird über AWS License Manager nachverfolgt.

Bis jetzt war die RDS-Option License Included, was bedeutete, Microsoft zweimal zu bezahlen, wenn man mitten in der Laufzeit eines Enterprise Agreements steckte. Das war der mit Abstand häufigste Grund, den ich dafür gehört habe, dass eine SQL-Server-Landschaft auf EC2 statt auf RDS gelandet ist: keine technische Einschränkung, sondern eine beschaffungsseitige. BYOM nimmt dem Argument die Grundlage, und es kommt eine Woche, bevor AWS Transform eine Kostenbewertung hinzufügt, die BYOM gegen License Included modelliert (die ist vom 8. Juni datiert und gehört damit in den Beitrag der nächsten Woche).

Der Trade-off ist der, den License Mobility immer mit sich bringt: Es hängt von aktiver Software Assurance ab, und die Compliance-Position musst du jetzt auf einem Managed Service selbst nachweisen. License Manager hilft beim Zählen; beim Audit hilft er nicht. Entscheide, wem das gehört, bevor die erste Instance läuft.

Cognito bekommt eine zweite Region, mit Bedingungen

Amazon Cognito Multi-Region Replication hält eine synchronisierte Kopie von Nutzerprofilen, Credentials und Pool-Konfiguration in einer sekundären Region. Der Launch-Beitrag beschreibt die Form: Die Replikation ist unidirektional, die sekundäre Region ist read-only und bedient Authentifizierung, von beiden Regionen ausgestellte Tokens werden von beiden erkannt, und Federation (Social, SAML, OIDC) funktioniert aus der Replika. Es ist ein Add-on für Pools der Tiers Essentials und Plus in 16 Regionen, bepreist mit 0,0045 $ pro monatlich aktivem Nutzer pro Replika-Region auf Essentials, 0,006 $ auf Plus, plus 30 % Aufschlag auf Machine-to-Machine-Tokens.

Cognito war die Komponente, die "Multi-Region" in vielen Architekturen zur Lüge gemacht hat: Die Datenbank war repliziert, das Compute war zustandslos, und der Identity Provider lebte an genau einem Ort. Das ist jetzt behoben, aber lies die Einrichtungsschritte, bevor du feierst. Du brauchst einen Multi-Region KMS Key, und du musst den OIDC-Issuer-Typ auf die neuen Multi-Region-Endpunkte umstellen, was heißt: jeden serverseitigen Client neu deployen und Updates für Mobile Apps ausliefern. Lambda-Trigger, SMS- und E-Mail-Konfiguration, Log-Streaming und WAF-Regeln werden nicht repliziert; die baust du in der Zielregion von Hand nach. Während eines Failovers geht Sign-in weiter, aber neue Registrierungen und Profilaktualisierungen pausieren.

Das Failover selbst gehört dir: DNS-Updates, getrieben von Health Checks, die du entwirfst. Für Managed Login mit Custom Domain gibt es eingebautes Routing gegen einen Route 53 Health Check. Der Rat des Beitrags, einen kleinen Anteil des Traffics außerhalb der Spitzenzeiten in die sekundäre Region zu leiten, bevor du sie brauchst, ist das ganze Spiel. Ein ungetesteter Standby ist eine Hypothese.

Kubernetes 1.36 auf EKS: weniger Webhooks, weniger Root

Amazon EKS und EKS Distro unterstützen Kubernetes 1.36 in allen Regionen, in denen EKS läuft, inklusive GovCloud. Vier Features sind für Plattform-Betreiber relevant: User Namespaces sind generally available und mappen Container-Root auf einen unprivilegierten Host-Nutzer, sodass ein Container-Ausbruch keine Node-Privilegien einbringt; Mutating Admission Policies erlauben CEL-basierte Mutationen im API-Server, ohne Webhook-Infrastruktur zu betreiben; In-Place Pod-Level Vertical Scaling ändert das gemeinsame CPU- und Memory-Budget eines Pods ohne Neustart; und Resource Health Status zeigt den Gerätezustand im Pod-Status.

Handeln solltest du bei den Mutating Admission Policies. Jeder Mutating Webhook, den du betreibst, ist eine Komponente im kritischen Pfad jedes kubectl apply, mit eigenem TLS, eigener Verfügbarkeit und eigenem Timeout. Sidecar-Injection, Default-Labels und Image-Rewrites in CEL-Policies zu verlagern, beseitigt eine ganze Klasse von Ausfällen. User Namespaces ist der Sicherheitsgewinn, braucht aber Runtime- und Node-Unterstützung, also behandle es als Node-Group-Migration und nicht als Schalter.

CUR 2.0 in Athena und Redshift, ohne den Glue-Kleber

Cost and Usage Report 2.0 integriert sich jetzt mit Athena und Redshift. Du wählst die Engine, und der Export kommt im richtigen Format (Parquet oder GZIP) mit Templates, Tabellendefinitionen und Ladeanweisungen; Tabellen aktualisieren sich, wenn die Daten sich aktualisieren. Wer je einen Glue Crawler plus CloudFormation-Stack gepflegt hat, nur um Abrechnungsdaten abfragbar zu machen, weiß, was das ersetzt. Verfügbar in allen kommerziellen Regionen, nicht in GovCloud oder China. Kombiniere es mit dem neuen 32-Tage-Lookback von Compute Optimizer für EBS- und ECS-Rightsizing, der endlich einen vollen Monatszyklus abdeckt.

Auch diese Woche

Der rote Faden

Keiner der Launches dieser Woche fügt eine Fähigkeit hinzu, die du nicht schon vorher hättest bauen können. Du konntest SQL Server mit eigener Lizenz auf EC2 betreiben. Du konntest einen Cognito-Export-Job schreiben und beten. Du konntest Webhooks betreiben. Was sich geändert hat: Der verwaltete Pfad deckt jetzt den Fall ab, der früher den unverwalteten erzwungen hat, und die Lücke zwischen "was wir gern betreiben würden" und "was Lizenz oder Architektur erlauben" hat sich ein Stück geschlossen. Das sind die Wochen, die Migrationen bewegen, nicht die Keynote-Wochen.

Lies das als Nächstes

Die KI- und Agenten-Lesart der Woche lebt auf ercan.ai. Für Consulting zu AWS, Cloud, CI/CD-Pipelines, Linux, GitHub/GitLab und mehr ist ercanermis.com die Anlaufstelle.

Referenzen