Το πιο σημαντικό launch της εβδομάδας της 17ης Αυγούστου είναι ένα που οι περισσότερες ομάδες δεν θα προσέξουν μέχρι να φτάσει μια ειδοποίηση: το Amazon EKS διαχειρίζεται πλέον το rotation της certificate authority, και υπάρχει γιατί τα πρώτα EKS clusters, που δημιουργήθηκαν το 2018 με δεκαετείς CAs, πλησιάζουν στο τέλος τους. Μαζί του, το Direct Connect ανέβασε το ταβάνι των inbound prefixes από 100 σε 1.000, το Europe (London) απέκτησε τέταρτη Availability Zone, και το IAM Policy Autopilot έμαθε να διαβάζει Terraform plan files. Κανένα launch AWS Transform ή DMS αυτή την εβδομάδα, οπότε η οπτική του migration είναι η δικτυακή: το όριο prefixes ήταν πραγματικός blocker για μεγάλα hybrid cutovers.

EKS CA rotation: η προθεσμία που κανείς δεν έβαλε σε ticket

Κάθε EKS cluster έχει μια CA που υπογράφει το πιστοποιητικό του API server, και κάθε cluster που δημιουργήθηκε από το launch και μετά φέρει μία με ισχύ δέκα ετών. Τα πρώτα χρονολογούνται από τα μέσα του 2018. Αν αυτή η CA λήξει, τίποτα που την εμπιστεύεται δεν μπορεί να μιλήσει στο control plane: kubelets, kubectl, CI runners, οι operators που ξεχάσατε. Το νέο managed rotation σάς δίνει έναν κύκλο ζωής με δικλείδες: το EKS προσαρτά μια διάδοχο CA, ενημερώνει τα components που διαχειρίζεται η AWS ώστε να την εμπιστεύονται, χειρίζεται αυτόματα τα instances του EKS Auto Mode και τους Fargate nodes, στέλνει ειδοποιήσεις λήξης εκ των προτέρων, ενεργοποιεί τη διάδοχο με δικό του χρονοδιάγραμμα αν δεν το κάνετε ποτέ εσείς, και κρατά rollback στην προηγούμενη CA. Χωρίς επιπλέον κόστος, σε όλα τα εμπορικά Regions, οδηγούμενο από CLI, τα EKS APIs, CloudFormation ή την κονσόλα.

Διαβάστε τη λίστα για αυτό που η AWS δεν κάνει. Πρέπει ακόμα να αντικαταστήσετε τους δικούς σας worker nodes ώστε να εμπιστεύονται τη διάδοχο, και πρέπει ακόμα να ενημερώσετε κάθε εξωτερικό client, που σημαίνει κάθε kubeconfig ενσωματωμένο σε σύστημα CI, κάθε bastion, κάθε εργαλείο τρίτων που κάρφωσε το certificate-authority-data. Η αυτόματη ενεργοποίηση είναι το μέρος που πρέπει να σεβαστείτε: είναι δίχτυ ασφαλείας έναντι της λήξης, αλλά αν πυροδοτηθεί πριν έχετε κάνει rotate τους clients σας, αυτοί οι clients σπάνε σε χρόνο που διάλεξε η AWS. Η σωστή κίνηση είναι να καταγράψετε τώρα ποιος μιλά σε κάθε cluster, να ανακυκλώσετε τα self-managed node groups ως κανονικό refresh, και να ενεργοποιήσετε τη διάδοχο μόνοι σας μέσα σε παράθυρο αλλαγών. Ξεκινήστε με το παλαιότερο cluster στον λογαριασμό. Το aws eks describe-cluster και το createdAt του cluster σάς λένε ποιο είναι.

Direct Connect: 1.000 prefixes και ένα capacity pool

Ένα private ή transit VIF δεχόταν μέχρι τώρα το πολύ 100 route prefixes διαφημιζόμενα από on-premises. Για ένα data centre με μια δεκαετία εξάπλωσης subnets αυτό σήμαινε επιθετική σύνοψη ή διάσπαση σε πολλά VIFs, και στη διάρκεια ενός migration σήμαινε τις "προσωρινές" summary routes που ζουν περισσότερο από το migration. Τα inbound prefix controls σάς αφήνουν να κατανείμετε έως 1.000 IPv4 και 1.000 IPv6 prefixes ανά VIF σε dedicated και hosted connections, αντλώντας από νέα capacity pools σε επίπεδο dedicated connection και Direct Connect gateway. Τα pools των connections κλιμακώνονται με την ταχύτητα του link και τα pools των LAG με τον αριθμό των μελών. Χωρίς πρόσθετο κόστος. Εμπορικά Regions, GovCloud (US) και τα δύο Regions της Κίνας.

Το μοντέλο του pool είναι αυτό που πρέπει να καταλάβετε πριν το αγγίξετε. Η χωρητικότητα είναι κοινός προϋπολογισμός, οπότε μια ομάδα που κατανέμει 900 prefixes σε ένα VIF έχει ξοδέψει το pool για όλους τους άλλους σε αυτό το connection. Αντιμετωπίστε τις κατανομές ως IaC, όχι ως κλικ στην κονσόλα, και αποφασίστε τον διαμοιρασμό πριν ζητήσει η πρώτη ομάδα.

Regions: eu-west-2d και μια Local Zone στο Las Vegas

Το Europe (London) πρόσθεσε το eu-west-2d στις 19 Αυγούστου, με accelerated χωρητικότητα Trn3 και P6 μαζί με compute γενικής χρήσης. Οι νέες AZs είναι εύκολο να αγνοηθούν και ακριβό να αγνοηθούν: αν το VPC σας χτίστηκε με τρία subnets ανά tier και hard-coded ονόματα AZ, η τέταρτη ζώνη είναι αόρατη στα Auto Scaling groups και στα EKS node groups σας μέχρι κάποιος να προσθέσει τα subnets. Την επόμενη ημέρα, μια Local Zone στο Las Vegas (us-west-2-las-2a) έγινε GA με instances C7i, M7i, R7i και C8gn, τους τύπους EBS gp3/gp2/io1/sc1/st1, ECS, EKS, ALB και Direct Connect.

IAM: Policy Autopilot για Terraform, και ένα quota που σταματήσατε να χτυπάτε

Το IAM Policy Autopilot, το open-source εργαλείο από το re:Invent 2025 που παράγει περιορισμένες policies από κώδικα εφαρμογής, δέχεται πλέον ένα Terraform plan file και παράγει μια βασική policy περιορισμένη σε create, read, update και delete στους πόρους αυτού του plan, με συγκεκριμένα ARNs όπου μπορεί. Τρέχει τοπικά και ζει στο awslabs/iam-policy-autopilot. Το κενό που κλείνει είναι πραγματικό: το deploy role για ένα Terraform pipeline είναι συνήθως το πιο ευρύ role στον λογαριασμό ακριβώς γιατί κανείς δεν μπορούσε να απαριθμήσει τι χρειάζεται. Μια βασική policy παραγόμενη από plan είναι υπερασπίσιμο σημείο εκκίνησης, με την επιφύλαξη ότι μια baseline από ένα plan δεν καλύπτει το destroy ενός πόρου που δεν υπάρχει στο επόμενο plan. Ξεχωριστά, το προεπιλεγμένο όριο managed policies ανά role διπλασιάστηκε από 10 σε 20, με 25 διαθέσιμα κατόπιν αιτήματος, κάτι που αποσύρει μια κατηγορία παρακάμψεων τύπου "policy too large, attach another".

Επίσης αυτή την εβδομάδα

Το κοινό νήμα

Τρία από τα launches αυτής της εβδομάδας αφορούν όρια που ορίστηκαν όταν η πλατφόρμα ήταν μικρή: μια δεκαετής CA που το 2018 φαινόταν σαν για πάντα, ένα VIF 100 prefixes από τότε που hybrid σήμαινε ένα data centre, ένα role 10 policies από πριν κάποιος προσαρτήσει managed policies κατά δωδεκάδες. Η AWS ανεβάζει ή αυτοματοποιεί καθένα από αυτά, κάτι ευπρόσδεκτο, αλλά το βάρος δεν εξαφανίζεται, μετακινείται. Το CA rotation σάς αφήνει τους clients, το prefix pool σάς αφήνει την πολιτική κατανομής, η baseline του Autopilot σάς αφήνει τη διαδρομή destroy. Ο αυτοματισμός στο επίπεδο της πλατφόρμας μετατρέπει ένα σκληρό όριο σε απόφαση σχεδιασμού, και οι αποφάσεις σχεδιασμού χρειάζονται υπεύθυνο.

Διαβάστε στη συνέχεια

Για την ανάγνωση της ίδιας εβδομάδας από την πλευρά του AI και των agents, οι σημειώσεις πεδίου ζουν στο ercan.ai. Η συμβουλευτική σε AWS, cloud, CI/CD pipelines, Linux, GitHub/GitLab και άλλα περνά από το ercanermis.com.

Αναφορές