Η εβδομάδα της 10ης Αυγούστου είχε να κάνει με την AWS να αναλαμβάνει αποφάσεις που οι ομάδες platform έπαιρναν μέχρι τώρα με το χέρι, και δύο από αυτές αξίζουν μια δεύτερη ματιά πριν δεχτείτε το default. Τα EC2 application status checks επιτρέπουν στο ίδιο το EC2 να ελέγχει ένα HTTP endpoint στο instance σας και να τροφοδοτεί το αποτέλεσμα στο Auto Scaling, και ο IAM role manager έγινε GA, δημιουργώντας τα IAM roles που χρειάζεται μια υπηρεσία ενώ κάνετε κλικ στην κονσόλα της. Επίσης αυτή την εβδομάδα: το ACM έβαλε ημερομηνίες στο τέλος του email validation, και το MSK έμαθε να μεταφέρει ένα cluster από ZooKeeper σε KRaft επί τόπου. Κανένα launch του AWS Transform δεν έφτασε αυτή την εβδομάδα: τα θέματα modernization ήταν το MSK και μια πιο διακριτική διόρθωση στο Elastic Disaster Recovery.

EC2 application status checks: υγεία χωρίς load balancer

Μέχρι τώρα το EC2 είχε δύο status checks: system (ο host) και instance (το guest OS). Το νέο application status check προσθέτει ένα τρίτο επίπεδο. Ορίζετε πρωτόκολλο, port και path μαζί με τους κωδικούς απόκρισης που μετρούν ως healthy, συσχετίζετε τον έλεγχο με instances ανά ID ή ανά tag, και το EC2 στέλνει ένα HTTP ή HTTPS request κάθε 60 δευτερόλεπτα και αναφέρει το αποτέλεσμα δίπλα στα άλλα δύο. Τα Auto Scaling groups μπορούν να αντικαθιστούν instances που αποτυγχάνουν σε αυτόν. Όλα τα commercial Regions και GovCloud (US).

Η προφανής ερώτηση είναι γιατί να το θέλετε αυτό όταν το ALB target group ελέγχει ήδη την υγεία του ίδιου path. Η απάντηση είναι κάθε instance που δεν βρίσκεται πίσω από load balancer: workers που τραβούν από SQS, schedulers, ένας Docker host του οποίου ο daemon πέθανε ενώ το instance συνέχιζε να απαντά σε ICMP. Αυτά τα μηχανήματα σήμερα είναι "healthy" με κάθε σήμα που διαθέτει το EC2, και ο on-call μαθαίνει το αντίθετο από έναν πελάτη. Ο τρόπος αστοχίας για τον οποίο πρέπει να σχεδιάσετε είναι ο αντίστροφος: ένα health endpoint που εξαρτάται από ένα downstream (μια βάση δεδομένων, μια cache) θα ρίξει ολόκληρο το fleet όταν το downstream κάνει μια στιγμιαία διακοπή, επειδή το ASG θα αντικαταστήσει instances που ήταν μια χαρά. Κρατήστε ρηχό το path που ελέγχεται. Και η συσχέτιση με tags σημαίνει ότι ένα τυπογραφικό λάθος σε ένα tag μπορεί σιωπηλά να αφήσει το μισό fleet χωρίς έλεγχο, οπότε επαληθεύστε με aws ec2 describe-instance-status μετά το rollout.

IAM role manager: βολικός, και το default για Lambda είναι ευρύ

Ο role manager παρακολουθεί τι ρυθμίζετε σε μια υποστηριζόμενη κονσόλα (έξι κατά το launch, ανάμεσά τους Lambda και EventBridge) και είτε δημιουργεί ένα default role είτε επαναχρησιμοποιεί ένα υπάρχον στον λογαριασμό που ήδη ταιριάζει, μέσω του νέου API AcquireRole που αντιστοιχίζεται με AWS managed role templates. Τα roles είναι συνηθισμένα IAM roles που ελέγχετε πλήρως, πρόκειται για μία ρύθμιση σε επίπεδο λογαριασμού στην κονσόλα IAM, και είναι ενεργοποιημένος εξ ορισμού σε λογαριασμούς που δημιουργούνται με το νέο AWS experience. Δεν είναι διαθέσιμος σε GovCloud (US) ή Κίνα.

Η λεπτομέρεια που πρέπει να καθορίσει την απόφασή σας βρίσκεται στο άρθρο του security blog: επειδή τα permissions μιας Lambda function δεν μπορούν να είναι γνωστά πριν υπάρξει ο κώδικας, το role που παίρνει φέρει PowerUserAccess, που εξαιρεί IAM, Organizations και ρυθμίσεις λογαριασμού αλλά περιλαμβάνει όλα τα υπόλοιπα. Η απάντηση της AWS είναι να τρέξετε αργότερα IAM Access Analyzer και να το περιορίσετε. Αυτή είναι μια λογική ιστορία για developer sandbox και μια κακή για production, επειδή το "αργότερα" είναι το βήμα που δεν φτάνει ποτέ. Αν οι λογαριασμοί σας δημιουργούν ήδη roles μέσω Terraform ή CDK, απενεργοποιήστε τον, και χρησιμοποιήστε ένα SCP για να εμποδίσετε τα member accounts να τον ενεργοποιήσουν ξανά: το άρθρο επιβεβαιώνει ότι τα SCPs μπορούν να τον ελέγξουν. Αν τον θέλετε ενεργό για sandboxes, συνδυάστε τον με τον account access manager της ίδιας εβδομάδας, που αναθέτει IAM roles ενός λογαριασμού σε χρήστες και ομάδες του Identity Center, ώστε τουλάχιστον οι άνθρωποι που κρατούν αυτά τα ευρέα roles να είναι federated.

Το email validation του ACM τελειώνει το 2027, και οι ημερομηνίες είναι κλιμακωτές

Μετά την απόφαση του CA/Browser Forum τον Νοέμβριο του 2025, το ACM θα σταματήσει να υποστηρίζει public certificates με email validation σε τρία βήματα: κανένα email validation σε νέα Regions μετά την 1η Ιανουαρίου 2027, κανένα νέο αίτημα με email validation οπουδήποτε μετά τις 31 Μαρτίου 2027, και καμία ανανέωση υπαρχόντων πιστοποιητικών με email validation μετά τις 30 Σεπτεμβρίου 2027. Τα πιστοποιητικά που εκδόθηκαν πριν από την προθεσμία του κλάδου παραμένουν έγκυρα μέχρι τη λήξη τους, οπότε τίποτα δεν σπάει εκείνη τη μέρα. Αυτό που σπάει είναι η ανανέωση έναν χρόνο μετά, σε ένα πιστοποιητικό που κανείς δεν θυμάται να έχει ζητήσει.

Η μετάβαση είναι φθηνή αν την κάνετε τώρα. Φιλτράρετε την κονσόλα ACM κατά validation method Email και type Amazon Issued, ή γράψτε ένα script, και μετά αλλάξτε κάθε πιστοποιητικό επί τόπου με aws acm update-certificate-options, που διατηρεί το ARN ώστε να μη χρειάζεται επεξεργασία κανένας listener ή distribution. Προσθέστε το CNAME εντός του παραθύρου των 72 ωρών και το ACM ανανεώνει με τη νέα μέθοδο. Υπάρχει και HTTP validation, αλλά μόνο για CloudFront. Αντιμετωπίστε το ως ticket του Q3, όχι του 2027.

MSK: Από ZooKeeper σε KRaft χωρίς νέο cluster

Το Kafka 3.9.x είναι η τελευταία σειρά εκδόσεων που υποστηρίζει ZooKeeper και το Kafka 4.x είναι μόνο KRaft, οπότε κάθε provisioned MSK cluster που βρίσκεται ακόμη σε ZooKeeper έχει μια μετάβαση μπροστά του. Το MSK την κάνει πλέον επί τόπου: χωρίς νέα υποδομή, χωρίς αντιγραφή δεδομένων, χωρίς αλλαγή ρυθμίσεων στους clients, και το cluster παραμένει διαθέσιμο καθ' όλη τη διάρκεια σύμφωνα με την AWS. Πρέπει πρώτα να βρίσκεστε σε 3.9.x. Διαθέσιμο οπουδήποτε τρέχει provisioned MSK εκτός από το European Sovereign Cloud. Αυτό είναι το είδος modernization που δεν προτεραιοποιείται ποτέ επειδή δεν συνδέεται με κανένα feature, και ακριβώς γι' αυτό μετράει μια διαδρομή ενός κουμπιού: μετατρέπει ένα project ενός τριμήνου σε ένα change window.

Επίσης αυτή την εβδομάδα

Το κοινό νήμα

Τα application status checks και ο role manager είναι η ίδια κίνηση σε δύο κατευθύνσεις. Το ένα επιτρέπει στο EC2 να παρατηρεί την εφαρμογή σας ώστε να ενεργεί για λογαριασμό σας. Το άλλο επιτρέπει στο IAM να ενεργεί για λογαριασμό σας πριν έχετε παρατηρήσει οτιδήποτε. Το πρώτο είναι καλή ανταλλαγή επειδή το blast radius ενός κακού health check είναι ένα fleet και είναι θορυβώδες. Το δεύτερο είναι χειρότερη ανταλλαγή επειδή το blast radius ενός ευρέος role είναι ο λογαριασμός και είναι σιωπηλό. Η προθεσμία του ACM και η μετάβαση του MSK είναι υπενθυμίσεις ότι το άχαρο μισό της δουλειάς platform, οι ανανεώσεις και τα ελάχιστα όρια εκδόσεων, είναι εκεί που ζουν οι πραγματικές διακοπές. Βάλτε τα τρία θέματα με ημερομηνία στο ημερολόγιο αυτή την εβδομάδα και διαφωνήστε για τον role manager με την ησυχία σας.

Διαβάστε στη συνέχεια

Για την ανάγνωση της ίδιας εβδομάδας από την πλευρά AI και agents, οι σημειώσεις πεδίου βρίσκονται στο ercan.ai. Για συμβουλευτική σε AWS, cloud, CI/CD pipelines, Linux, GitHub/GitLab και άλλα, ξεκινήστε από το ercanermis.com.

Αναφορές