Zwei Einschränkungen, um die Plattform-Teams ein Jahrzehnt lang herumgebaut haben, sind in der Woche vom 13. Juli verschwunden. S3 hat die 30-Tage-Wartezeit gestrichen, bevor ein Objekt von S3 Standard nach Standard-IA oder One Zone-IA wechseln darf, und Lambda kopiert dein Deployment-Paket nicht mehr in seinen eigenen Speicher, was die Code-Storage-Quota beseitigt und die Aktivierung nach einem Deploy verkürzt. Eine dritte Änderung ist kleiner, zählt aber für jeden, der Identität konsolidiert: Cognito kann jetzt Nutzer mit ihren bestehenden Passwort-Hashes importieren, sodass eine Migration von einem anderen Identity Provider nicht mehr jeden Nutzer zum Passwort-Reset zwingt. Auf der KI-Seite sind OpenAIs GPT-5.6 Sol, Terra und Luna auf Bedrock GA geworden.

Über die Cognito-Änderung hinaus ist in diesem Zeitfenster kein Migrations- oder Modernisierungs-Launch gelandet, der Beitrag ist also kürzer als der der letzten Woche. Es ist trotzdem eine Woche mit Thema: AWS hat Limits entfernt, die für AWS' Bequemlichkeit existierten und nicht für deine.

S3: Infrequent Access ab Tag null

Bis zum 16. Juli konnte eine Lifecycle-Regel ein Objekt erst nach S3 Standard-IA oder One Zone-IA überführen, wenn es 30 Tage in S3 Standard gelegen hatte. Jetzt darf die Regel 0 Tage sagen, und der Übergang passiert noch am Tag der Erstellung des Objekts. AWS bewirbt es für Backups, Log-Analytik und Compliance-Daten, die innerhalb von Stunden kalt werden, und der Speicherpreis der IA-Klassen liegt bis zu 40 % unter S3 Standard, bei gleichem Millisekunden-Zugriff.

Lies die Überlegungen zu Transitions, bevor du jede Regel auf null stellst, denn die Dinge, die IA für den falschen Workload teuer gemacht haben, sind unangetastet. Objekte unter 128 KB werden standardmäßig nicht überführt, und du zahlst so oder so einen Transition-Request pro Objekt, sodass ein Bucket voller kleiner Log-Fragmente teurer wird, nicht billiger. Die IA-Klassen behalten ihre Mindestspeicherdauer-Gebühr, sodass ein Objekt, das du schreibst, an Tag null tierst und an Tag drei löschst, so abgerechnet wird, als wäre es geblieben. Und IA kostet pro abgerufenem GB, und genau das macht aus "kalten" Daten eine Überraschung, wenn ein Reprocessing-Job alles wieder einliest. Eine konkrete Regel für ein Backup-Präfix sieht so aus:

{
  "Rules": [{
    "ID": "backups-to-ia-day-zero",
    "Status": "Enabled",
    "Filter": { "Prefix": "backups/" },
    "Transitions": [{ "Days": 0, "StorageClass": "STANDARD_IA" }]
  }]
}

Der richtige Workload sind Daten, die einmal geschrieben, selten gelesen und über die Mindestdauer hinaus aufbewahrt werden. Backups und Compliance-Archive qualifizieren sich. Anwendungs-Logs, die du eine Woche lang tailst, nicht, und S3 Intelligent-Tiering hat den Fall "ich weiß es nicht" ohne Abrufgebühr schon immer abgedeckt.

Lambda: dein Bucket ist die Quelle der Wahrheit

Lambda hat bisher jedes Deployment-Paket in Lambda-verwalteten Speicher kopiert, wenn du eine Funktion oder einen Layer erstellt oder aktualisiert hast. Diese Kopie war das, was die 75-GB-Code-Storage-Quota pro Region gezählt hat, und sie war ein Schritt im kritischen Pfad jedes Deploys. Seit 15. Juli kannst du S3ObjectStorageMode auf einer Funktion oder einem Layer auf REFERENCE setzen, und Lambda liest den Code stattdessen aus deinem Bucket. Referenzierter Code zählt nicht gegen die Quota, die verwaltete Quota selbst ist für alle anderen von 75 GB auf 300 GB gestiegen, es gibt keine zusätzliche Lambda-Gebühr, und du zahlst S3-Speicher plus Cross-Region-Transfer, wo er anfällt. Der Lambda Service Principal braucht s3:GetObject und s3:GetObjectVersion auf dem Bucket.

Der Trade-off ist, dass du jetzt eine Verfügbarkeitsabhängigkeit besitzt, die du vorher nicht hattest. Wird das Objekt im Bucket gelöscht, überschrieben oder bricht seine Policy, ist das ein Lambda-Incident. Versioning auf dem Bucket ist nicht mehr optional, die Deployment-Pipeline muss neue Keys schreiben statt zu überschreiben, und die Bucket Policy braucht dieselbe Change Control wie die IAM-Rolle der Funktion. Teams mit Hunderten von Funktionen und Layern, bei denen die 75-GB-Quota jedes Quartal ein Support-Ticket bedeutete, holen hier am meisten heraus. Ein Team mit zwanzig Funktionen sollte fragen, ob die schnellere Aktivierung noch eine Sache wert ist, die falsch konfiguriert werden kann.

Cognito: die Migration, die keine Passwörter mehr zurücksetzt

Eine Nutzerbasis per CSV-Import nach Cognito zu bringen hatte immer einen hässlichen Moment: Jeder importierte Nutzer musste beim ersten Sign-in sein Passwort zurücksetzen, weil Cognito keine Hashes aus dem Quellsystem akzeptieren konnte. Seit 15. Juli kann die CSV die Hashes tragen, du deklarierst den Algorithmus, und Cognito verifiziert das Passwort des Nutzers beim ersten Sign-in gegen den importierten Hash und schützt es dann neu. Unterstützt: bcrypt, scrypt, Argon2id und PBKDF2 mit SHA-256, in jeder Region, in der Cognito läuft.

Das ist die Art von Änderung, die entscheidet, ob ein Konsolidierungsprojekt stattfindet. Der erzwungene Reset war der Grund, warum viele Teams ein Jahr lang einen Legacy-IdP parallel am Leben gehalten haben, mit dem Migrations-Trigger beim ersten Login. Jetzt kann der Cutover ein einziger Import sein. Der Failure Mode ist der Hash-Export selbst: Das Quellsystem muss dir die Algorithmusparameter exakt liefern, und ein Mismatch schlägt nicht laut fehl, sondern als "falsches Passwort" für die gesamte Nutzerbasis auf einmal. Teste mit einer Stichprobe, die Nutzer auf jeder historischen Hashing-Konfiguration enthält, die das alte System je benutzt hat.

Auch diese Woche

Der rote Faden

Die 30-Tage-Regel von S3 und die Lambda-Code-Kopie waren beide Artefakte davon, wie AWS den Service gebaut hat, nicht davon, was Kunden brauchten. Beide wurden mit Tooling umgangen: Intelligent-Tiering für das erste, Layer-Pruning-Skripte und Quota-Tickets für das zweite. Sie zu entfernen ist gut, und es ist auch eine Erinnerung daran, was der Workaround verdeckt hat. IA ab Tag null legt die Abruf- und Mindestdauer-Preise offen, vor denen die 30-Tage-Wartezeit die meisten bewahrt hat. Referenzierter Code legt deinen Bucket als Laufzeitabhängigkeit offen. Cognitos Hash-Import entfernt den erzwungenen Reset und legt die Qualität des Exports deines alten IdP offen. In jedem Fall hat AWS dir eine Entscheidung zurückgegeben, die es früher für dich getroffen hat.

Lies das als Nächstes

Für die KI- und Agenten-Lesart derselben Wochen leben die Field Notes auf ercan.ai. Consulting zu AWS, Cloud, CI/CD-Pipelines, Linux, GitHub/GitLab und mehr läuft über ercanermis.com.

Referenzen