Die Woche vom 6. Juli war die, in der AWS-Migrationstooling aufgehört hat anzunehmen, dass ein Mensch sich durchklickt. DMS Schema Conversion lässt sich jetzt über den AWS MCP Server aus Kiro, Claude Code und Cursor steuern, und AWS Transform for migrations hat einen Expertenmodus bekommen, der deine Eingaben vorab nimmt und die Schritte ohne das Chat-Hin-und-Her ausführt. Drumherum hat Security Hub angefangen, deine Landschaft aus dem öffentlichen Internet zu prüfen, statt Erreichbarkeit abzuleiten, Aurora DSQL Change Data Capture ist GA geworden, und die GPU-Management-Gebühr auf EKS Auto Mode und ECS Managed Instances ist um bis zu 60 % gefallen, rückwirkend zum 1. Juli.

Schema Conversion wird eine API, die dein Agent aufruft

DMS Schema Conversion hat seit re:Invent 2024 eine generative KI-Hilfe für Code-Objekte. Was sich am 10. Juli geändert hat, ist die Steueroberfläche. Ein Agent, der mit dem AWS MCP Server verbunden ist, kann jetzt ein Konvertierungsprojekt anlegen, Quell-Metadaten durchsuchen, die Konvertierung ausführen, den Assessment-Report erzeugen und das Ergebnis exportieren, aus natürlichsprachlichen Anweisungen in der IDE. Ein dms-schema-conversion-Skill wird bei Bedarf geladen und trägt die API-Reihenfolge, Ausschlussmuster und operative Sequenzierung, damit der Agent sie nicht neu entdecken muss. Es deckt jedes bestehende Quell- und Ziel-Engine-Paar ab und kostet nichts über DMS selbst hinaus.

Der Trade-off ist der, den jeder agentische Wrapper mit sich bringt: Er beseitigt die Reibung, die stille Qualitätskontrolle geleistet hat. Der Assessment-Report war früher das, was du gelesen hast, bevor du dich auf ein Ziel festgelegt hast; wenn ein Agent in einem Durchgang erzeugt und exportiert, wird der Report zu einem Artefakt, das niemand öffnet. Behalte ihn als Gate. Behandle das konvertierte DDL wie einen Pull Request von einem schnellen Junior: Diffe es gegen die Quelle, führe es gegen ein Scratch-Ziel aus und leite die Stored Procedures, Functions und Trigger, bei denen der Agent "geholfen hat", durch einen Menschen, der die Anwendung kennt. Die Engine-Paare, bei denen das am härtesten zuschlägt, sind die mit dem meisten Dialekt, Oracle oder SQL Server nach PostgreSQL, und das sind genau die Paare, die die meisten Leute konvertieren.

AWS Transform Expertenmodus: weniger Fragen, dieselben Freigaben

Der Migration-Job-Ablauf in AWS Transform war um einen Chat gebaut, der dich der Reihe nach Dinge fragt. Der Expertenmodus, am selben Tag hinzugefügt, lässt dich diese Antworten vorab liefern, sodass der Agent die Migrationsschritte mit minimaler Interaktion abschließt. Für ein Team in seiner zehnten Wave ist das der richtige Default; die Fragen waren jedes Mal dieselben, und die Antworten lebten ohnehin in einem Spreadsheet.

Was sich nicht ändert, ist die Form des Risikos. Der Agent braucht weiterhin Quellserver und Netzwerkressourcen, die mit CreatedBy: AWSTransform und ATWorkspace: <workspace_id> getaggt sind, bevor er auf ihnen arbeitet, erlaubt weiterhin einen Inventory-Import pro Ziel-Account und Region auf einmal und leitet Deployments weiterhin durch den Approvals-Tab, wo nur Nutzer mit Admin-Rolle bestätigen können. Einen laufenden Job zu stoppen und neu zu starten beginnt von vorn. Der Expertenmodus ist also kein Autopilot; er ist ein kürzeres Gespräch vor denselben Gates. Nutze ihn, sobald deine Inventory-Datei stabil ist, und behalte den Schritt Inventory validieren und bestätigen als den Punkt, an dem ein Mensch die Instance-Typen und Subnetze noch einmal liest.

Security Hub klopft jetzt von außen an

Network Scanning, gestartet am 8. Juli, prüft deine Ressourcen aus dem öffentlichen Internet, um tatsächliche Erreichbarkeit zu bestätigen. Es findet öffentliche IPs, virtuelle Maschinen und Load Balancer über AWS und Azure, identifiziert die erreichbaren Ports und die Services dahinter und erzeugt einen Befund pro erreichbarem Port, mit Nachweis. Security Hub Exposures korreliert diese dann mit Konfigurationsbefunden. Es ist in Security Hub Essentials ohne Aufpreis enthalten, für neue Kunden standardmäßig an, und Bestandskunden schalten es pro Account und Region oder organisationsweit per Configuration Policy ein.

Das ist eine andere Frage als die, die Security Hub bisher beantwortet hat. "Könnte das erreichbar sein, gegeben die Security Groups und Route Tables" ist ein Modell deines Netzwerks; "ist das erreichbar, ich habe mich gerade verbunden" ist eine Messung. Die beiden widersprechen sich öfter, als Teams erwarten, in beide Richtungen: eine permissive Security Group hinter einem NLB, der nur 443 weiterleitet, oder ein erreichbarer Port, den niemand modelliert hat, weil er über ein Peering kam, das du vergessen hast. Der Failure Mode ist Volumen. Wenn du absichtlich öffentliche ALBs auf 443 betreibst, bekommst du für jeden einen Befund, und die Versuchung wird sein, das ganze Control zu unterdrücken. Tu das nicht. Unterdrücke pro Ressource, behalte das Control, und lass Exposures die Korrelation machen, die dir sagt, welche der offenen Ports auch auf einem Host mit einer ausnutzbaren CVE liegen.

Die GPU-Gebührensenkung, und was sie über Auto Mode sagt

EKS Auto Mode und ECS Managed Instances haben beide ihre Management-Gebühren auf beschleunigten Instances gesenkt: 35 % auf G-Serie, 60 % auf P-Serie und AWS Trainium, wirksam ab 1. Juli und automatisch angewendet. EKS Auto Mode hat außerdem paralleles Image-Pulling auf GPU-Instances mit lokalem NVMe und Accelerator-bewusste Node-Reparatur bekommen; ECS Managed Instances zeigt GPU-Auslastung, -Speicher und -Temperatur in Container Insights und ersetzt Instances bei GPU-Hardwareausfall.

Die Management-Gebühr war die ehrliche Steuer dafür, AWS deine Data Plane betreiben zu lassen, und auf P-Serie war sie groß genug, dass kostenbewusste Teams GPU-Node-Groups selbst verwaltet haben, während alles andere in Auto Mode lief. Sie um 60 % zu senken verengt diese Lücke auf einen Punkt, an dem das operative Argument für die meisten Teams gewinnt. Prüfe die Tabelle der Preise pro Instance auf der Pricing-Seite: Die Prozentsätze gelten pro Familie, deine Rechnung läuft pro Instance-Stunde.

Auch diese Woche

  • Aurora DSQL Change Data Capture ist GA und streamt Inserts, Updates und Deletes nach Kinesis Data Streams, mit Firehose weiter nach S3, Redshift oder OpenSearch; die Ankündigung schweigt zu Ordnungs- und Zustellungssemantik, also baue idempotente Consumer, bis die Docs etwas anderes sagen.
  • OAuth für den AWS MCP Server: Agenten melden sich über den Browser mit derselben Identität an, die du für die Console nutzt, bekommen kurzlebige Tokens, und ein Headless-Flow nutzt create-oauth2-token-with-iam; neue IAM-Condition-Keys und CloudTrail-Felder kommen mit.
  • Claude apps gateway for AWS, eine selbst gehostete Control Plane, die OIDC-Sign-in, verwaltete Einstellungen und Ausgabenlimits pro Nutzer vor Claude Code und Claude Desktop setzt und Inferenz nach Bedrock routet. Mehr zur Agentenseite auf ercan.ai.
  • Loom for AWS, Open Source in AWS Labs: eine Management-UI und API, um Strands-Agenten auf AgentCore Runtime zu deployen, mit RBAC, ABAC und erzwungenem Tagging.
  • SageMaker Studio und Hugging Face: Ein-Klick-Deploy oder -Anpassung, mit Default-Quota für G5, G6 und G4dn für verifizierte Kunden.
  • S3 Vectors hat beide AWS GovCloud (US) Regionen erreicht.
  • EC2-Regionsausbau: C8ine in Frankfurt und I7ie in Hyderabad.
  • Sandbox Environments im AWS Builder Center: kostenlose, vorprovisionierte Accounts für Workshop-Übungen, je acht Stunden, einer pro Woche, zum ersten Geburtstag der Plattform.

Der rote Faden

Drei der Launches dieser Woche übergeben einen bisher interaktiven Workflow an eine Maschine: Schema-Konvertierung an einen IDE-Agenten, Migrations-Waves an den Expertenmodus, Agenten-Sign-in an OAuth. Jeder entfernt einen Schritt, an dem ein Mensch früher angehalten und hingesehen hat. Die Ankündigungen entfernen die Checkpoints nicht, den Assessment-Report, die Inventory-Bestätigung, den Approvals-Tab, sie machen es nur möglich, daran vorbeizuhasten. Network Scanning ist das Gegengewicht: eine Messung, kein Modell, dessen, was die Automatisierung der restlichen Woche offen gelassen hat. Wenn du die ersten drei übernimmst, übernimm das vierte.

Lies das als Nächstes

Für die KI- und Agenten-Lesart derselben Wochen leben die Field Notes auf ercan.ai. Consulting zu AWS, Cloud, CI/CD-Pipelines, Linux, GitHub/GitLab und mehr läuft über ercanermis.com.

Referenzen