La semaine du 29 juin au 5 juillet 2026 a porté sur les deux moitiés d'un déploiement : le sortir et le reprendre. Le mode Express de CloudFormation rend la main jusqu'à 4 fois plus tôt en déclarant un déploiement terminé quand la configuration est appliquée plutôt que quand chaque ressource s'est stabilisée, avec le rollback désactivé par défaut. Amazon EKS vous laisse annuler une mise à niveau de version Kubernetes sous sept jours. ECS a rendu son circuit breaker configurable. Et ACM parle désormais ACME, ce qui place des certificats publics sur des hôtes que le load balancer n'atteint jamais.

Sous les lancements, une Service Availability Update du 30 juin a placé une douzaine de services et de fonctionnalités en maintenance à partir du 30 juillet. Cette liste mérite une entrée de calendrier plus que n'importe quel lancement de la semaine.

CloudFormation Express mode : « terminé » ne veut plus dire la même chose

Le mode Express de CloudFormation et du CDK a été lancé le 30 juin dans toutes les Régions commerciales, sans surcoût. Un déploiement se termine dès que CloudFormation confirme que la configuration des ressources est appliquée, en sautant les longues vérifications de stabilisation ; les ressources continuent de devenir opérationnelles en arrière-plan. Activez-le par opération avec --deployment-config '{"mode": "EXPRESS", "disableRollback": true}' sur un create, update ou delete, ou avec cdk deploy --express. Les nested stacks héritent du mode du parent. L'exemple du billet : la suppression d'une fonction Lambda avec une interface réseau VPC passe de 20 à 30 minutes à moins de 10 secondes.

Relisez le nom du flag : le rollback est désactivé par défaut en mode Express ; passez disableRollback à false pour la production. Le changement le plus important est sémantique. Chaque pipeline CI qui lance un smoke test à l'instant où deploy rend la main s'appuyait sur la stabilisation comme barrière implicite de disponibilité. En mode Express, cette barrière a disparu, donc le smoke test peut faire la course avec la ressource qu'il teste. AWS le dit sans détour : utilisez le mode par défaut quand les ressources doivent être opérationnelles avant de recevoir du trafic. Le mode Express a d'abord sa place dans les boucles de dev et les environnements de revue éphémères.

Le lancement compagnon, la validation pré-déploiement sur toutes les opérations de stack (30 juin), est actif par défaut : les erreurs de syntaxe de propriété, les conflits de nom et les contraintes de bucket S3 non vide sont attrapés au CreateStack et à l'UpdateStack avant qu'aucune ressource ne soit touchée, là où seule la création de change set les exécutait auparavant, et les change sets avertissent désormais sur les limites de quota, les conflits de recorder Config et les dépôts ECR qui contiennent encore des images. cdk deploy et cdk validate remontent les résultats avec un traçage au niveau du construct. Si vous suivez une règle IaC-first, ces deux-là ensemble sont le plus grand changement de votre boucle interne depuis les change sets.

Rollback de version EKS : sept jours pour changer d'avis

Amazon EKS prend désormais en charge le rollback de version Kubernetes (1er juillet) : dans les sept jours suivant une mise à niveau, vous pouvez ramener un cluster à sa version mineure précédente, un pas à la fois, sans surcoût, dans toutes les Régions commerciales, en support standard ou étendu. Les cluster insights vérifient d'abord la compatibilité des nœuds et les dépendances des add-ons ; --force les contourne. Le rollback du control plane fonctionne sur tous les clusters. Le rollback des nœuds n'est disponible que sur EKS Auto Mode, où control plane et nœuds reviennent ensemble en respectant les Pod disruption budgets, avec une API d'annulation. Le rollback de control plane de l'auteur a pris environ 20 minutes, le cluster restant fonctionnel pendant toute la durée.

Pour les node groups managés et autogérés, le control plane peut revenir en arrière et vos nœuds non, donc la fenêtre de sept jours est en réalité une cadence « control plane d'abord, nœuds après quelques jours de confiance ». La question à laquelle le billet ne répond pas, et que vous devriez tester en staging, c'est ce qui arrive aux objets créés contre des API qui n'existent que dans la version plus récente pendant cette fenêtre.

Dans le même esprit, les réglages du circuit breaker de déploiement ECS sont désormais configurables (1er juillet) : un seuil en nombre fixe de tâches ou en pourcentage du desired count, et un choix entre échecs consécutifs (le compteur se réinitialise sur une tâche saine) et cumulés. Pris en charge dans CloudFormation, le CDK et Terraform, pour les services nouveaux et existants.

ACME dans ACM : des certificats publics là où l'ALB n'arrive pas

AWS Certificate Manager prend désormais en charge ACME (30 juin, toutes les Régions commerciales ; GovCloud, la Chine et l'European Sovereign Cloud suivront). Vous créez un endpoint ACME, vous pointez Certbot, acme.sh ou cert-manager vers https://acm-acme-enroll.us-east-1.api.aws/<ENDPOINT_ID>/directory, et vous enregistrez le client avec des identifiants External Account Binding obtenus dans la console. Les domaines sont validés une seule fois, au niveau de l'endpoint, par CNAME DNS (créé automatiquement pour les zones Route 53), donc les propriétaires d'applications n'ont jamais besoin d'accès au DNS, et chaque endpoint autorise ou refuse les périmètres domaine exact, sous-domaine et wildcard. Les certificats viennent d'Amazon Trust Services ; la tarification est par domaine et par émission.

ACM a toujours été gratuit et sans effort pour tout ce qui termine sur ALB, CloudFront ou API Gateway, et inutile pour tout le reste : un hôte EC2 qui sert du TLS, un conteneur qui fait du mTLS, une machine on-premises. C'était le territoire de Let's Encrypt, avec les cron jobs et plugins DNS qui vont avec. Le compromis, c'est l'argent : Let's Encrypt est gratuit, ACM ACME facture par domaine à l'émission, et les réductions de validité du CA/Browser Forum (100 jours à partir de mars 2027, 47 jours d'ici 2029) multiplient les émissions. Associez-le au Workload Credentials Provider d'il y a trois semaines et l'histoire des certificats sur l'hôte est complète.

La liste de maintenance

Les Service Availability Updates du 30 juin font passer ceux-ci en maintenance, sans nouvel accès client à partir du 30 juillet 2026 : Amazon Bedrock Agents (la version de novembre 2023, désormais « Agents Classic »), Cognito Sync, Kendra, Q Business, Directory Service Simple AD, Mainframe Modernization Self-Managed Experience, Console myApplications, Resource Groups Group Lifecycle Events, Service Catalog Application Registry, Systems Manager Application Manager, et neuf fonctionnalités de SageMaker AI dont Clarify, Debugger, Ground Truth et Model Monitor. IoT Device Defender Detect suit le 31 août. En phase de retrait : WorkSpaces PCoIP, WorkSpaces Pools, AMS Advanced, re:Post Private et SageMaker Profiler. Le plan AMS Advanced est explicite : plus de nouvelles landing zones après le 30 juin 2026, arrêt complet le 30 juin 2027, avec AMS Accelerate comme point d'atterrissage suggéré.

Deux notes de migration. Simple AD passant en maintenance, l'annuaire bon marché que beaucoup de petits parcs utilisaient pour WorkSpaces et l'authentification RDS SQL Server a besoin d'un plan. Et la fermeture de la Mainframe Modernization Self-Managed Experience pendant qu'AWS Transform for mainframe ajoute un parcours « reimagine » vous dit quelle stratégie mainframe AWS compte financer.

Aussi cette semaine

Le fil conducteur

AWS a passé cette semaine à rendre le bouton « annuler » réel : une version Kubernetes dont on peut revenir, un circuit breaker que l'on peut régler, un mode de déploiement qui rend la main tôt et le dit. La liste de maintenance est la même idée appliquée au portefeuille d'AWS lui-même. Les deux vous renvoient une décision : le mode Express demande si votre pipeline sait ce que « prêt » veut dire, et la liste de maintenance demande si votre parc tourne encore sur quelque chose dans lequel AWS a cessé d'investir. Répondez aux deux avant le 30 juillet.

À lire ensuite

Les annonces agents et modèles de la semaine, Sonnet 5 et WorkSpaces for agents entre autres, sont couvertes sur ercan.ai. Pour du conseil en AWS, cloud, pipelines CI/CD, Linux, GitHub/GitLab et plus encore, le point de départ est ercanermis.com.

Références