Η εβδομάδα 22 έως 28 Ιουνίου 2026 έδωσε στις ομάδες platform τρία primitives διακυβέρνησης που μέχρι τώρα τα μιμούνταν με tags και σελίδες wiki: AMI watermarks που επιζούν από αντίγραφα, Regions και shares σε άλλους λογαριασμούς, Lambda MicroVMs που βάζουν τον μη έμπιστο κώδικα στη δική του εικονική μηχανή, και μια διορθωμένη προεπιλογή του Network Firewall που έριχνε σιωπηλά νόμιμα πακέτα από server προς client. Στην πλευρά του migration, το AWS Transform προσγειώνει πλέον workloads σε οποιοδήποτε εμπορικό Region, και το OpenSearch και το MSK κυκλοφόρησαν και τα δύο διαδρομές migration καθοδηγούμενες από agent.

Χωρίς Summit αυτή την εβδομάδα, τα launches είναι μικρότερα και πιο χρήσιμα: κάθε κεντρικό θέμα είναι κάτι για το οποίο πέρσι θα γράφατε ένα έγγραφο πολιτικής και θα ελπίζατε ότι οι άνθρωποι θα το ακολουθούσαν.

Migration: οποιοδήποτε Region, και δύο ακόμα διαδρομές με agent

Το AWS Transform for migrations υποστηρίζει πλέον όλα τα εμπορικά Regions της AWS ως στόχους migration, δημοσιευμένο στις 22 Ιουνίου. Το Region στόχος είναι εκεί όπου αναπτύσσονται το landing zone, το δίκτυο και οι rehosted servers, και η ανακοίνωση προσθέτει 16 από αυτά: US West (N. California), Africa (Cape Town), Asia Pacific (Bangkok, Hong Kong, Hyderabad, Jakarta, Kuala Lumpur, Melbourne, New Zealand, Taipei), Canada (Calgary), Europe (Milan, Spain, Zurich), Mexico (Querétaro) και Middle East (Tel Aviv). Για τους Ευρωπαίους αναγνώστες, η Ζυρίχη, το Μιλάνο και η Ισπανία είναι αυτά που μετατρέπουν το "ο agent δεν μπορεί να το προσγειώσει εκεί που λέει το νομικό ότι πρέπει να ζει" από blocker σε dropdown.

Δύο launches κοντά στις βάσεις δεδομένων την ίδια εβδομάδα ακολουθούν το μοτίβο της μετονομασίας του MGN: η λογική του migration μετακινείται σε κάτι που οδηγεί ένας agent. Το Amazon OpenSearch Service προσφέρει πλέον migrations με βοήθεια AI (23 Ιουνίου): το Migration Assistant αποκτά ένα workflow καθοδηγούμενο από agent, χρησιμοποιήσιμο από Kiro, Claude Code και άλλα, για να σχεδιάσει τη μετάβαση από self-managed Solr, Elasticsearch ή OpenSearch σε OpenSearch Serverless ή Managed Clusters, να αναπτύξει την υποδομή, και να τρέξει το migration ιστορικών δεδομένων και live κίνησης, με το capture-and-replay να καλύπτει πλέον και το Solr. Τα Amazon MSK AI Agent Skills (22 Ιουνίου) δίνουν σε Kiro, Claude Code και Cursor καθοδήγηση ειδικού για sizing, troubleshooting, monitoring και migration εξωτερικών Kafka clusters σε MSK Express.

Το trade-off με τα skills ως μηχανισμό διανομής είναι το version control: ένα runbook στο repo σας έχει ιστορικό commits, ένα skill vendor που τραβιέται την ώρα της εκτέλεσης είναι ένα prompt που δεν μπορείτε να κάνετε diff. Μια χαρά για ένα εφάπαξ migration. Για σαράντα πανομοιότυπα clusters, εξάγετε αυτό που έκανε ο agent την πρώτη φορά σε κάτι που σάς ανήκει.

AMI watermarks: προέλευση που δεν χάνεται στο αντίγραφο

Το Amazon EC2 ανακοίνωσε τα AMI Watermarks στις 24 Ιουνίου. Ενσωματώνετε ένα προσαρμοσμένο αναγνωριστικό σε ένα private AMI, και αυτό μεταφέρεται σε κάθε AMI που προκύπτει από αυτό: αντίγραφα σε άλλα Regions, images που δημιουργούνται από ένα running instance, και images που μοιράζονται με άλλους λογαριασμούς. Κάθε watermark φέρει το αρχικό AMI ID, τον ιδιοκτήτη, το Region και τις χρονοσφραγίδες δημιουργίας. Το μισό της επιβολής είναι η ουσία: συνδυάστε τα watermarks με τα Allowed AMIs για να περιορίσετε τα launches σε images που φέρουν εγκεκριμένο watermark, και εφαρμόστε το σε ολόκληρο το organization με Declarative Policies. Το EC2 Image Builder μπορεί να προσαρτήσει watermark μέσα στο pipeline. Όλα τα Regions μαζί με GovCloud και Κίνα, χωρίς χρέωση.

Το κενό που κλείνει είναι συγκεκριμένο. Τα προγράμματα golden AMI επιβάλλουν το "launch μόνο από τον λογαριασμό X" με Allowed AMIs. Την πρώτη φορά που μια ομάδα αντιγράφει το golden image στον δικό της λογαριασμό για να προσθέσει ένα package, η προέλευση χάνεται, και η πολιτική είτε το μπλοκάρει (οπότε σταματούν να χρησιμοποιούν το golden image) είτε επιτρέπει τον λογαριασμό τους (οπότε η πολιτική δεν σημαίνει τίποτα). Ένα watermark που επιζεί από το αντίγραφο σάς αφήνει να πείτε αντ' αυτού "launch οτιδήποτε κατάγεται από το golden image".

Να είστε ακριβείς για το τι αποδεικνύει. Ένα watermark είναι provenance, όχι integrity: λέει ότι το image κατάγεται από ένα build που εγκρίνατε, όχι ότι τίποτα δεν άλλαξε στο παράγωγο image ή στο instance μετά. Αντικαθιστά την προέλευση μέσω tags. Δεν αντικαθιστά το Inspector, το SSM compliance ή το image signing.

Lambda MicroVMs: μια VM ανά μη έμπιστη συνεδρία

Η AWS εισήγαγε τα Lambda MicroVMs στις 22 Ιουνίου: ένα serverless primitive που δίνει σε κάθε χρήστη ή job τη δική του VM απομονωμένη με Firecracker και δικό της kernel, suspend και resume με άθικτη την κατάσταση μνήμης και δίσκου για συνολικό χρόνο εκτέλεσης έως 8 ώρες, και ένα αποκλειστικό HTTPS endpoint που υποστηρίζει HTTP/2, gRPC και WebSockets. Τα όρια ανά MicroVM είναι 16 vCPUs, 32 GB μνήμη, 32 GB δίσκος, μόνο ARM64. Σύμφωνα με το άρθρο του launch, χτίζετε ένα image από ένα Dockerfile με aws lambda-microvms create-microvm-image, το εκκινείτε με aws lambda-microvms run-microvm και μια idle policy, και πληρώνετε baseline compute όσο τρέχει. Διαθέσιμο σε US East (N. Virginia, Ohio), US West (Oregon), Europe (Ireland) και Asia Pacific (Tokyo).

Έγραψα εκτενώς για αυτό στο AWS Lambda MicroVMs: Το serverless αποκτά απομονωμένο sandbox με κατάσταση. Η σύντομη εκδοχή: το ερώτημα σχεδιασμού δεν είναι "functions ή MicroVMs" αλλά "τι στο σύστημά μου τρέχει κώδικα που δεν έγραψα εγώ". Notebooks, plugins πελατών, και οτιδήποτε παράγει ένα LLM ανήκουν πίσω από ένα όριο VM με lifecycle, και μέχρι αυτή την εβδομάδα αυτό σήμαινε δικό σας fleet Firecracker ή ένα container ανά tenant. Η οπτική των agents είναι στο ercan.ai.

Το Network Firewall διορθώνει μια προεπιλογή που έσπαγε συνδέσεις

Το AWS Network Firewall ενημέρωσε την προεπιλεγμένη drop action του στις 22 Ιουνίου. Οι νέες firewall policies έχουν πλέον ως προεπιλεγμένη stateful action το "Application drop established (server-directed only)". Η προηγούμενη προεπιλογή, "Application drop established (bidirectional)", μπορούσε να ρίξει σιωπηλά νόμιμα TCP πακέτα από server προς client, όπως window updates, keep-alives και resets, κάτι που εμφανιζόταν ως διακοπτόμενες αστοχίες σύνδεσης που κανείς δεν μπορούσε να αναπαράγει. Οι υπάρχουσες policies δεν αλλάζουν αυτόματα. Η AWS παραπέμπει στην τεκμηρίωση για την ενημέρωσή τους, και σημειώνει ότι περιβάλλοντα που χρειάζονται την bidirectional action για post-quantum κατακερματισμένα TLS handshakes μπορούν να αλλάξουν ή να προσθέσουν ένα flag to_server στους κανόνες TCP drop τους.

Αυτό είναι το θέμα για δράση σήμερα, γιατί είναι αλλαγή σε προεπιλογή και όχι feature. Κάθε aws_networkfirewall_firewall_policy στο Terraform σας που αντιγράφηκε από ένα παλιό παράδειγμα κουβαλά την παλιά προεπιλογή. Κάντε grep για τα stateful default actions, συγκρίνετε με τη νέα σύσταση, και περάστε την αλλαγή πρώτα από το staging. Αν έχετε ανοιχτό ένα ticket για ανεξήγητο διακοπτόμενο timeout σε κάτι πίσω από Network Firewall, ίσως μόλις βρήκατε την αιτία του.

Επίσης αυτή την εβδομάδα

  • Οι διερευνήσεις GuardDuty με AI μπαίνουν σε preview σε 10 Regions (23 Ιουνίου): κάθε finding παίρνει μια κρίση με βαθμό εμπιστοσύνης, αντιστοίχιση MITRE ATT&CK, 90 ημέρες σχετικής δραστηριότητας, και μια σύσταση suppression, containment ή remediation, μέσω κονσόλας, CLI, API ή του AWS MCP Server.
  • Το managed syslog ingestion του CloudWatch Logs (23 Ιουνίου) δέχεται RFC 5424, RFC 3164 και Cisco FTD/ASA μέσω TCP, TCP+TLS ή UDP σε ένα VPC endpoint, χωρίς agent, με εξαγωγή facility, severity και hostname.
  • Το OTel Container Insights για EKS (23 Ιουνίου) συλλέγει μετρικές υποδομής 30 δευτερολέπτων μέσω cAdvisor, Kube State Metrics και NVIDIA DCGM receivers με Kubernetes labels και ένα PromQL endpoint, μέσω του CloudWatch Observability add-on v6.2.0 ή νεότερου.
  • Ανοιχτή διακυβέρνηση για τη MySQL: η Oracle ανακοίνωσε steering committee με τέσσερις θέσεις εκτός Oracle, μία από αυτές για την AWS. Δεδομένης της επέκτασης του Extended Support την προηγούμενη εβδομάδα, η AWS σχεδιάζει να τρέχει MySQL για πολύ καιρό.

Το κοινό νήμα

Τρία από τα τέσσερα κεντρικά θέματα αυτής της εβδομάδας κάνουν επιβλητή μια ιδιότητα που μέχρι τώρα ήταν ευχή: από πού ήρθε ένα image, πού τρέχει ο μη έμπιστος κώδικας, πώς ένα firewall μεταχειρίζεται το μισό της επιστροφής μιας σύνδεσης. Το τέταρτο, το Transform σε κάθε εμπορικό Region, κάνει το ίδιο για το data residency. Τίποτα από αυτά δεν είναι συναρπαστικό. Όλα είναι το είδος ελέγχου που, μόλις υπάρξει, κάνει τον προηγούμενο τρόπο να φαίνεται αμέλεια σε μια επισκόπηση μετά από incident.

Διαβάστε στη συνέχεια

Η ανάγνωση των MicroVMs και των διερευνήσεων του GuardDuty από την πλευρά των agents είναι στο ercan.ai. Για συμβουλευτική σε AWS, cloud, CI/CD pipelines, Linux, GitHub/GitLab, και άλλα, το κεντρικό σημείο είναι το ercanermis.com.

Αναφορές