La semaine du 15 au 21 juin 2026 était celle de l'AWS Summit New York, et pour un lecteur infrastructure, le titre n'est pas un agent : AWS Transform a cessé d'être un outil de migration pour devenir un service permanent qui scanne vos dépôts à la recherche de dette technique et la corrige selon un planning. La même semaine, CloudWatch a changé son modèle de métriques pour de l'OpenTelemetry natif avec PromQL et une tarification de l'ingestion au Go, la Management Console a appris à vivre entièrement dans un VPC, l'auto scaling ECS a gagné des métriques à 20 secondes, et l'Extended Support de MySQL 5.7 a été repoussé à juin 2029.

Les annonces agents du Summit (AgentCore harness en GA, AWS Continuum, Managed Knowledge Base) sont traitées en profondeur sur ercan.ai. Ici, elles ont droit à une puce, parce que le côté infra avait assez de matière à lui seul.

Quatre lancements AWS Transform, une seule direction

Le 15 juin, AWS a lancé la modernisation continue dans AWS Transform, en preview dans US East (N. Virginia) et Europe (Frankfurt). Connectez du code depuis GitHub, GitLab, Bitbucket ou ailleurs, et il détecte, priorise et corrige en continu la dette technique à travers « des milliers de dépôts » : dépendances en fin de vie, frameworks obsolètes, plus des analyses de préparation à l'agentique et à la modernisation, et un raccord vers AWS Security Agent pour les vulnérabilités au niveau du source. La correction peut être planifiée automatiquement « avec supervision humaine », et le billet de lancement le décrit en train de générer des pull requests par rapport à des baselines configurables.

Puis le 16 juin, trois autres : l'évaluation de migration model-to-model scanne une base de code à la recherche d'usages d'OpenAI, Gemini, du SDK Anthropic direct, de LiteLLM et d'Ollama (y compris via LangChain, LlamaIndex, CrewAI et LangGraph) et produit des correspondances Bedrock, des comparaisons de coût et des changements de code, sans frais au-delà de la tarification standard de Transform. AWS Transform for mainframe a gagné un workflow de réimagination traçable pour le COBOL et le PL/I z/OS : les fonctions métier deviennent des exigences prêtes pour le développement et du code cloud-native, chaque exigence remonte jusqu'au source, et tout cela atterrit dans Kiro et d'autres IDE via MCP. Et AWS Transform cible désormais Amazon FSx for NetApp ONTAP en preview publique, en répliquant le stockage bloc depuis des sources NetApp, Dell, Pure Storage ou VMware dans la même vague que le compute et le réseau, là où EBS était auparavant la seule cible.

La modernisation continue est celle qui change la relation. Un outil de migration est un projet : il a un début, une fin et un périmètre que vous pouvez relire. Un service qui lit tous les dépôts en permanence et ouvre des PR est une permission permanente. Les questions à régler avant que la preview ne touche quoi que ce soit sont banales et décisives : quelles baselines, qui relit les PR que l'agent ouvre, ce que « correction automatique » signifie pour un dépôt que personne n'a déployé depuis deux ans, et si le token de lecture couvre des dépôts qui gardent des secrets dans leur historique. La limitation de la preview à deux Régions est la contrainte la moins intéressante.

CloudWatch devient un magasin de métriques compatible Prometheus

CloudWatch a introduit des métriques OpenTelemetry natives avec requêtes PromQL et tarification au Go le 16 juin. CloudWatch accepte les métriques via OTLP, expose une API de requête compatible Prometheus, et vous permet d'interroger les métriques personnalisées à côté des métriques vended de plus de 70 services AWS dans une seule expression PromQL. L'ingestion est facturée au Go avec 15 mois de stockage inclus. Disponible dans toutes les Régions commerciales sauf Middle East (UAE), Middle East (Bahrain) et Israel (Tel Aviv).

Il n'est pas arrivé seul. La centralisation cross-account des métriques (15 juin, 17 Régions) réplique les métriques de nombreux comptes et Régions vers un compte de destination selon des règles définies dans AWS Organizations, pour qu'une équipe centrale possède la copie servant aux alarmes et à la gouvernance. Log Analytics (15 juin) fond Logs Insights, Live Tail et Contributor Insights dans une seule expérience console par défaut avec requêtes en onglets, facturée aux tarifs sous-jacents. Query Studio est passé en GA.

Modélisez le changement de tarification avant de déplacer quoi que ce soit. Les métriques personnalisées CloudWatch ont toujours été facturées par métrique et par mois, ce qui punit la cardinalité. L'ingestion au Go facture des octets, pas des séries, ce qui est la façon dont les charges à la Prometheus ont toujours été chiffrées. L'annonce ne donne aucun tarif, donc faites le calcul vous-même : prenez une semaine de votre exporteur OTel le plus chargé, estimez les octets, et comparez avec les mêmes séries en métriques personnalisées. Si vous faites tourner Amazon Managed Service for Prometheus uniquement comme endpoint PromQL pour Grafana, ce lancement pose la question de savoir si vous en avez encore besoin.

La console passe à l'intérieur du périmètre

Deux lancements ferment une brèche que les architectures de périmètre de données contournent depuis des années. AWS Management Console Private Access (15 juin) route désormais tout le trafic console des consoles de services prises en charge via des VPC endpoints PrivateLink, de sorte que la console fonctionne depuis un VPC sans chemin vers internet ; vous ne payez que l'endpoint et les frais de traitement des données. Auparavant, Private Access pouvait restreindre quels comptes et réseaux atteignaient la console, mais exigeait encore une connectivité internet. AWS Sign-in prend désormais en charge les resource-based policies et les resource control policies (16 juin), évaluées à la connexion puis à chaque fois que la session demande de nouveaux identifiants, de sorte qu'une RCP à l'échelle de l'organisation peut restreindre la connexion console aux réseaux attendus.

Si votre position est que personne ne touche à la console en production, cela compte quand même : le chemin break-glass existe, et il vaut mieux qu'il soit joignable uniquement depuis votre réseau que comme endpoint public derrière une condition sur l'IP source que quelqu'un assouplira pendant un incident.

Conteneurs : scaling plus rapide, egress routé

L'auto scaling de services ECS a gagné des métriques à 20 secondes le 18 juin : ECSServiceAverageCPUUtilizationHighResolution et ECSServiceAverageMemoryUtilizationHighResolution, activées par service et sélectionnables comme métriques de target tracking. Dans les benchmarks AWS, le délai de déclenchement d'un scale-out est passé de 363 à 86 secondes et le délai total jusqu'aux tâches en cours d'exécution de 386 à 109 secondes. La fonctionnalité est gratuite ; les métriques CloudWatch haute résolution dont elle dépend ne le sont pas, là où les métriques standard à 60 secondes l'étaient.

L'egress du control plane EKS routé par le client (18 juin) envoie le trafic sortant du control plane, c'est-à-dire les callbacks des admission webhooks, les résolutions de fournisseur OIDC et les requêtes d'API agrégées, à travers votre VPC, sous vos tables de routage et vos security groups. Positionnez controlPlaneEgressMode à CUSTOMER_ROUTED à la création ou à la mise à jour, et imposez-le à l'échelle de la flotte avec la clé de condition SCP eks:controlPlaneEgressMode. Le gain, c'est d'atteindre un fournisseur OIDC privé ou un serveur de webhook à l'intérieur du VPC ; le risque, c'est que votre routage se trouve désormais sur le chemin de chaque appel de webhook, de sorte qu'une mauvaise table de routage devient un API server incapable d'admettre des Pods.

Également cette semaine

Le fil conducteur

Lisez les lancements infra comme un seul mouvement : AWS ramène à l'intérieur de sa frontière des choses qui vivaient à l'extérieur. La correction de la dette technique devient un service. Le magasin de métriques Prometheus devient CloudWatch. La console devient un VPC endpoint. Les appels sortants du control plane EKS deviennent vos routes. Ensemble, cela signifie qu'une plus grande part de votre surface opérationnelle est un service managé avec un bouton de politique, et que moins de pièces sont quelque chose dont vous pouvez lire le code. Décidez où vous voulez cette ligne, parce que cette semaine l'a déplacée.

À lire ensuite

Le volet agents du Summit, du harness à Continuum, est sur ercan.ai. Pour du conseil en AWS, cloud, pipelines CI/CD, Linux, GitHub/GitLab et plus encore, le point d'entrée est ercanermis.com.

Références