Der folgenreichste Launch der Woche vom 17. August ist einer, den die meisten Teams erst bemerken, wenn eine Benachrichtigung eintrifft: Amazon EKS verwaltet jetzt die Rotation der Certificate Authority, und es existiert, weil die ersten EKS-Cluster, 2018 mit Zehn-Jahres-CAs erstellt, sich deren Ende nähern. Daneben hat Direct Connect die Obergrenze für eingehende Präfixe von 100 auf 1.000 angehoben, Europe (London) hat eine vierte Availability Zone bekommen, und IAM Policy Autopilot hat gelernt, Terraform-Plan-Dateien zu lesen. Kein AWS-Transform- oder DMS-Launch diese Woche, der Migrationsblickwinkel ist also der Netzwerk-Blickwinkel: Das Präfix-Limit war ein echter Blocker für große Hybrid-Cutovers.

EKS-CA-Rotation: die Frist, die niemand in ein Ticket geschrieben hat

Jeder EKS-Cluster hat eine CA, die das API-Server-Zertifikat signiert, und jeder seit dem Start erstellte Cluster trägt eine, die zehn Jahre gültig ist. Die ersten stammen aus Mitte 2018. Läuft diese CA ab, kann nichts, was ihr vertraut, mit der Control Plane sprechen: Kubelets, kubectl, CI-Runner, die Operatoren, die du vergessen hast. Die neue verwaltete Rotation gibt dir einen Lifecycle mit Sicherungen: EKS hängt eine Nachfolger-CA an, aktualisiert die AWS-verwalteten Komponenten, damit sie ihr vertrauen, behandelt EKS-Auto-Mode-Instances und Fargate-Nodes automatisch, sendet Ablaufbenachrichtigungen im Voraus, aktiviert den Nachfolger nach eigenem Zeitplan, wenn du es nie tust, und behält ein Rollback zur vorherigen CA. Kein Aufpreis, alle kommerziellen Regionen, steuerbar aus CLI, EKS-APIs, CloudFormation oder Console.

Lies die Liste darauf, was AWS nicht tut. Du musst weiterhin deine eigenen Worker Nodes ersetzen, damit sie dem Nachfolger vertrauen, und du musst weiterhin jeden externen Client aktualisieren, also jede in ein CI-System eingebackene kubeconfig, jede Bastion, jedes Drittanbieter-Tool, das certificate-authority-data gepinnt hat. Die automatische Aktivierung ist der Teil, den du respektieren musst: Sie ist ein Sicherheitsnetz gegen den Ablauf, aber wenn sie auslöst, bevor du deine Clients rotiert hast, brechen diese Clients zu einem Zeitpunkt, den AWS gewählt hat. Der richtige Schritt ist, jetzt zu inventarisieren, wer mit jedem Cluster spricht, Self-Managed Node Groups als normalen Refresh zu rollen und den Nachfolger selbst innerhalb eines Change Windows zu aktivieren. Beginne mit dem ältesten Cluster im Account; aws eks describe-cluster und das createdAt des Clusters sagen dir, welcher das ist.

Direct Connect: 1.000 Präfixe und ein Kapazitätspool

Ein Private oder Transit VIF hat bisher höchstens 100 von On-Premises advertisete Route-Präfixe akzeptiert. Für ein Rechenzentrum mit einem Jahrzehnt Subnetz-Wildwuchs hieß das aggressiv zusammenfassen oder auf mehrere VIFs aufteilen, und während einer Migration hieß es die "vorübergehenden" Summary Routes, die die Migration überleben. Inbound Prefix Controls lassen dich bis zu 1.000 IPv4- und 1.000 IPv6-Präfixe pro VIF auf Dedicated und Hosted Connections zuweisen, gezogen aus neuen Kapazitätspools auf Ebene der Dedicated Connection und des Direct Connect Gateway. Connection-Pools skalieren mit der Link-Geschwindigkeit und LAG-Pools mit der Member-Anzahl. Kein Aufpreis; kommerzielle Regionen, GovCloud (US) und beide China-Regionen.

Das Pool-Modell ist der Teil, den du verstehen musst, bevor du es anfasst. Kapazität ist ein gemeinsames Budget, also hat ein Team, das 900 Präfixe einem VIF zuweist, den Pool für alle anderen auf dieser Connection ausgegeben. Behandle Zuweisungen als IaC, nicht als Console-Klicks, und entscheide die Aufteilung, bevor das erste Team fragt.

Regionen: eu-west-2d und eine Local Zone in Las Vegas

Europe (London) hat am 19. August eu-west-2d hinzugefügt, mit Trn3- und P6-Beschleunigerkapazität plus General-Purpose-Compute. Neue AZs sind leicht zu ignorieren und teuer zu ignorieren: Wenn deine VPC mit drei Subnetzen pro Tier und hartkodierten AZ-Namen gebaut wurde, ist die vierte Zone für deine Auto Scaling Groups und deine EKS Node Groups unsichtbar, bis jemand die Subnetze hinzufügt. Am Tag danach ist eine Local Zone in Las Vegas (us-west-2-las-2a) GA geworden, mit C7i-, M7i-, R7i- und C8gn-Instances, den EBS-Typen gp3/gp2/io1/sc1/st1, ECS, EKS, ALB und Direct Connect.

IAM: Policy Autopilot für Terraform, und eine Quota, gegen die du nicht mehr läufst

IAM Policy Autopilot, das Open-Source-Tool von re:Invent 2025, das eingeengte Policies aus Anwendungscode ableitet, nimmt jetzt eine Terraform-Plan-Datei und erzeugt eine Baseline-Policy, beschränkt auf Create, Read, Update und Delete für die Ressourcen in diesem Plan, mit konkreten ARNs, wo es kann. Es läuft lokal und lebt unter awslabs/iam-policy-autopilot. Die Lücke, die es schließt, ist real: Die Deploy-Rolle einer Terraform-Pipeline ist meistens die breiteste Rolle im Account, genau weil niemand aufzählen konnte, was sie braucht. Eine aus dem Plan abgeleitete Baseline ist ein vertretbarer Ausgangspunkt, mit dem Vorbehalt, dass eine Baseline aus einem Plan den destroy einer Ressource nicht abdeckt, die im nächsten Plan nicht vorkommt. Separat davon hat sich das Default-Limit für Managed Policies pro Rolle von 10 auf 20 verdoppelt, mit 25 auf Anfrage, was eine Klasse von "Policy zu groß, hänge noch eine an"-Workarounds in Rente schickt.

Auch diese Woche

Der rote Faden

Drei der Launches dieser Woche handeln von Limits, die gesetzt wurden, als die Plattform klein war: eine Zehn-Jahres-CA, die 2018 wie für immer wirkte, ein 100-Präfix-VIF aus der Zeit, als Hybrid ein Rechenzentrum bedeutete, eine 10-Policy-Rolle aus der Zeit, bevor jemand Managed Policies im Dutzend anhängte. AWS hebt oder automatisiert jedes davon, was willkommen ist, aber die Last verschwindet nicht, sie wandert. Die CA-Rotation überlässt dir die Clients, der Präfix-Pool überlässt dir die Zuweisungspolicy, die Autopilot-Baseline überlässt dir den Destroy-Pfad. Automatisierung auf der Plattformebene verwandelt ein hartes Limit in eine Designentscheidung, und Designentscheidungen brauchen einen Owner.

Lies das als Nächstes

Für die KI- und Agenten-Lesart derselben Woche leben die Field Notes auf ercan.ai. Consulting zu AWS, Cloud, CI/CD-Pipelines, Linux, GitHub/GitLab und mehr läuft über ercanermis.com.

Referenzen