Η εβδομάδα της 5ης Οκτωβρίου 2026 είχε δύο νήματα που αξίζουν την προσοχή μιας ομάδας platform: το AWS Transform έμαθε να καταγράφει estates Microsoft Hyper-V χωρίς τίποτα εγκατεστημένο στους hosts, και μια σειρά μικρότερων launches έσπρωξε τους ελέγχους ταυτότητας και πιστοποιητικών προς τα κάτω, σε επίπεδα που παλιά εμπιστεύονταν το δίκτυο πάνω στο οποίο κάθονταν. Τα Kafka event source mappings της Lambda δέχονται OAuth, ο κατάλογος του IAM Identity Center μπορεί να απορρίπτει αιτήματα που παρακάμπτουν τα VPC endpoints σας, η δημόσια έκδοση ACME τρέχει μέσω PrivateLink, και το GuardDuty διαβάζει PostgreSQL queries και όχι μόνο logins. Κανένα από αυτά δεν είναι τίτλος. Μαζί είναι η εβδομάδα.

Το γραφείο migration: το Hyper-V αποκτά agentless discovery

Στις 7 Οκτωβρίου η AWS δημοσίευσε το Discover and migrate Microsoft Hyper-V workloads with AWS Transform, καταχωρισμένο ως ανακοίνωση. Το discovery tool του Transform καταχωρίζει πλέον κάθε Hyper-V host ως πηγή, συνδέεται μέσω WinRM, και διαβάζει τα vCPU, τη μνήμη, τους δίσκους, τους network adapters, την κατάσταση ισχύος και τη συμμετοχή σε failover cluster κάθε VM. Η συλλογή επαναλαμβάνεται κάθε ώρα, τα clustered VMs αποδιπλασιάζονται, και το System Center Virtual Machine Manager δεν απαιτείται. Το εργαλείο έρχεται ως VHD appliance που συλλέγει επίσης από vCenter και από bare metal εισαγόμενο μέσω CSV, οπότε ένα μικτό estate παίρνει ένα inventory. Με guest credentials προσθέτει δείγματα απόδοσης 10 λεπτών, συνδέσεις δικτύου για χαρτογράφηση dependencies, και λεπτομέρειες SQL Server και Oracle, τροφοδοτώντας τη συνήθη αλυσίδα: TCO case με διαστασιολόγηση EC2 από μετρημένο utilization, wave plan, landing zone.

Η ίδια η μετακίνηση παραμένει AWS Transform MGN στο επίπεδο του guest OS, που σημαίνει replication agent σε κάθε source server. Το discovery είναι agentless. Το migration όχι, και οι εγκρίσεις αλλαγών για το rollout του agent είναι το μέρος που τρώει ημερολογιακό χρόνο.

Δύο συνοδευτικά άρθρα έφτασαν την ίδια εβδομάδα. Το When to use what: A guide to AWS Transform interfaces (9 Οκτωβρίου) είναι ο πρώτος σαφής χάρτης της κονσόλας, του Kiro και άλλων AI IDEs, του CLI atx με τα μη διαδραστικά flags -x -t για pipelines, και του MCP server. Διαβάστε το πριν διαλέξετε σημείο εισόδου: το CLI καλύπτει μόνο custom transformations. Και το Run least-privilege AWS DMS CDC migration from SQL Server (6 Οκτωβρίου) είναι η ανάλυση δικαιωμάτων με την οποία κάθε project DMS θα έπρεπε να είχε ξεκινήσει.

Το OAuth φτάνει στους Kafka consumers της Lambda

Στις 9 Οκτωβρίου η AWS Lambda πρόσθεσε OAuth authentication για self-managed Apache Kafka event source mappings. Μέχρι τώρα ένα Kafka ESM μπορούσε να αυθεντικοποιηθεί με SASL/PLAIN, SASL/SCRAM ή mTLS, τίποτα άλλο. Ομάδες των οποίων τα clusters ήταν κλειδωμένα σε IdP μόνο με OAuth (Okta, Cognito) δεν μπορούσαν να χρησιμοποιήσουν καθόλου το ESM, οπότε έτρεχαν δικό τους fleet consumers και έχαναν το scaling, το batching, το filtering και τον χειρισμό σφαλμάτων που το ESM δίνει δωρεάν. Δουλεύει για self-hosted clusters και για Confluent Cloud, Aiven και Redpanda.

Το trade-off: η ταυτότητα του consumer σας είναι πλέον ένα token με διάρκεια ζωής, οπότε μια διακοπή του IdP εμφανίζεται ως κολλημένο event source mapping αντί για σφάλμα login που κάποιος παρακολουθεί. Βάλτε τη μετρική OffsetLag του ESM σε alarm πριν αλλάξετε τη μέθοδο auth, όχι μετά.

Το επίπεδο ταυτότητας και πιστοποιητικών γίνεται private

Τρία launches στις 5 και 6 Οκτωβρίου μοιράζονται ένα σχήμα. Το IAM Identity Center υποστηρίζει πλέον network access controls για το Identity Store: μπορείτε να απαιτήσετε οι κλήσεις του Identity Store API να φτάνουν μόνο μέσω επιτρεπόμενων VPC endpoints στον λογαριασμό ή το organization σας, και να περιορίσετε το SCIM API που ο εξωτερικός σας IdP χρησιμοποιεί για να συγχρονίζει χρήστες και ομάδες. Ο κατάλογος που ορίζει ποιο είναι το workforce σας γίνεται προσβάσιμος μόνο από εκεί που λέτε εσείς.

Το ACM υποστηρίζει πλέον έκδοση ACME μέσω AWS PrivateLink. Δημιουργείτε ένα VPC interface endpoint προς την υπηρεσία ACM ACME και το private DNS αναλύει το υπάρχον ACME directory URL σας σε αυτό, ώστε κάθε ACMEv2 client να ανανεώνει δημόσια πιστοποιητικά χωρίς διαδρομή internet και χωρίς αλλαγές στον client. Για hosts σε private subnet που κρατούν μια διαδρομή NAT αποκλειστικά για να ανανεώνουν πιστοποιητικά, αυτό είναι μια ολόκληρη εξαίρεση egress που φεύγει.

Το AWS Private CA εκπέμπει πλέον λεπτομερή logs έκδοσης πιστοποιητικών: ένα CloudTrail service event, IssueCertificateDetails, με το πλήρες περιεχόμενο του πιστοποιητικού, την εκδίδουσα CA, την ταυτότητα του αιτούντος και την κατάσταση υπογραφής για κάθε έκδοση, μαζί με αυτές που απέτυχαν πριν την υπογραφή. Το παλιό management event σάς έδινε ένα ARN. Αν παρακολουθείτε ένα migration αλγορίθμων ή χρειάζεστε ένα inventory πιστοποιητικών που δεν είναι spreadsheet, αυτή είναι η πηγή αληθείας που σάς έλειπε.

Αντιμετωπίστε τα ως ένα change set: Identity Store και SCIM πίσω από VPC endpoints, ACME μέσω PrivateLink, logs έκδοσης στον λογαριασμό audit. Ο τρόπος αστοχίας για τον οποίο πρέπει να σχεδιάσετε είναι η διαδρομή break-glass. Όταν η endpoint policy είναι λάθος, ο συγχρονισμός SCIM σταματά σιωπηλά και το σφάλμα εμφανίζεται ως "user not found" σε μια άσχετη εφαρμογή δύο ημέρες μετά.

Το GuardDuty διαβάζει τα queries, όχι μόνο τα logins

Στις 8 Οκτωβρίου το GuardDuty RDS Protection επεκτάθηκε για να ανιχνεύει εξαγωγή και καταστροφή δεδομένων σε Aurora PostgreSQL και RDS for PostgreSQL. Παλιά κοιτούσε ανωμαλίες στα logins. Τώρα δημιουργεί baseline της δραστηριότητας δεδομένων και σημειώνει ασυνήθιστη πρόσβαση με anomaly detection και threat intelligence, χωρίς agents και χωρίς αλλαγές στη βάση. Το κενό που κλείνει είναι αυτό που αναφέρει κάθε αναφορά μετά από incident: μόλις ένας επιτιθέμενος κρατά έγκυρα credentials, τα queries του μοιάζουν ακριβώς με αυτά της εφαρμογής. Η παρακολούθηση logins δεν βλέπει τίποτα. Η παρακολούθηση του σχήματος των queries έχει τουλάχιστον μια πιθανότητα.

Επίσης αυτή την εβδομάδα

Το κοινό νήμα

Για χρόνια το μοτίβο ήταν: αυθεντικοποίησε τον χρήστη στο edge, μετά εμπιστεύσου το δίκτυο πίσω από αυτό. Αυτή την εβδομάδα η AWS συνέχισε να μετακινεί τον έλεγχο προς τα μέσα. Το API του καταλόγου θέλει να ξέρει από ποιο VPC endpoint ήρθατε. Η ανανέωση πιστοποιητικού δεν φεύγει ποτέ από το VPC. Ο Kafka consumer κουβαλά token από IdP. Το threat model της βάσης υποθέτει ότι το credential έχει ήδη κλαπεί και κοιτά τι κάνουν τα queries. Στην πλευρά του migration, το Transform διαβάζει Hyper-V hosts μέσω WinRM αντί να φυτεύει agents, το ίδιο ένστικτο εφαρμοσμένο στο estate που αφήνετε. Ο αριθμός των σημείων όπου το "είναι μέσα στο δίκτυο" μετρά ως απάντηση μίκρυνε ξανά.

Διαβάστε στη συνέχεια

Για την ανάγνωση της ίδιας εβδομάδας από την πλευρά των μοντέλων και των agents, οι σημειώσεις πεδίου AI ζουν στο ercan.ai. Το κεντρικό σημείο, μαζί με συμβουλευτική σε AWS, cloud, CI/CD pipelines, Linux, GitHub/GitLab και άλλα, είναι στο ercanermis.com.

Αναφορές