La semaine du 6 juillet est celle où l'outillage de migration AWS a cessé de supposer qu'un humain clique dedans. DMS Schema Conversion est devenu pilotable depuis Kiro, Claude Code et Cursor via l'AWS MCP Server, et AWS Transform for migrations a ajouté un mode expert qui prend vos réponses en amont et enchaîne les étapes sans les allers-retours du chat. Autour d'eux, Security Hub a commencé à sonder votre parc depuis l'internet public au lieu de déduire la joignabilité, la change data capture d'Aurora DSQL est passée GA, et les frais de gestion GPU sur EKS Auto Mode et ECS Managed Instances ont baissé de 60 % au maximum, avec effet rétroactif au 1er juillet.

La conversion de schéma devient une API que votre agent appelle

DMS Schema Conversion dispose d'une assistance par IA générative pour les objets de code depuis re:Invent 2024. Ce qui a changé le 10 juillet, c'est la surface de contrôle. Un agent connecté à l'AWS MCP Server peut désormais créer un projet de conversion, parcourir les métadonnées de la source, lancer la conversion, générer le rapport d'évaluation et exporter le résultat, à partir d'instructions en langage naturel dans l'IDE. Un skill dms-schema-conversion se charge à la demande et porte l'ordre des appels d'API, les motifs d'exclusion et l'enchaînement opérationnel, pour que l'agent n'ait pas à les redécouvrir. Il couvre toutes les paires moteur source et cible existantes et n'ajoute aucun coût au-delà de DMS lui-même.

Le compromis est celui que porte tout wrapper agentique : il supprime la friction qui faisait, en silence, du contrôle qualité. Le rapport d'évaluation était ce que vous lisiez avant de vous engager sur une cible ; quand un agent génère et exporte en une passe, le rapport devient un artefact que personne n'ouvre. Gardez-le comme une porte. Traitez le DDL converti comme une pull request d'un junior rapide : diffez-le contre la source, exécutez-le sur une cible jetable, et faites passer les procédures stockées, fonctions et triggers que l'agent a « aidés » par un humain qui connaît l'application. Les paires de moteurs où ça mord le plus fort sont celles qui contiennent le plus de dialecte, Oracle ou SQL Server vers PostgreSQL, c'est-à-dire exactement les paires que la plupart des gens convertissent.

Mode expert d'AWS Transform : moins de questions, mêmes approbations

Le flux de job de migration dans AWS Transform a été construit autour d'un chat qui vous pose des questions dans l'ordre. Le mode expert, ajouté le même jour, vous laisse fournir ces réponses en amont pour que l'agent complète les étapes de migration avec un minimum d'interaction. Pour une équipe qui mène sa dixième vague, c'est le bon défaut ; les questions étaient les mêmes à chaque fois et les réponses vivaient de toute façon dans un tableur.

Ce qui ne change pas, c'est la forme du risque. L'agent a toujours besoin que les serveurs source et les ressources réseau portent les tags CreatedBy: AWSTransform et ATWorkspace: <workspace_id> avant d'agir dessus, n'autorise toujours qu'un seul import d'inventaire par compte cible et par Région à la fois, et fait toujours passer les déploiements par l'onglet Approvals, où seuls les utilisateurs avec le rôle Admin peuvent confirmer. Arrêter un job en cours et le relancer repart de zéro. Le mode expert n'est donc pas un pilote automatique ; c'est une conversation plus courte devant les mêmes portes. Utilisez-le une fois votre fichier d'inventaire stabilisé, et gardez l'étape valider et confirmer l'inventaire comme le moment où un humain relit une dernière fois les types d'instances et les sous-réseaux.

Security Hub commence à frapper depuis l'extérieur

Network Scanning, lancé le 8 juillet, sonde vos ressources depuis l'internet public pour confirmer leur joignabilité réelle. Il trouve les IP publiques, les machines virtuelles et les load balancers sur AWS et Azure, identifie les ports joignables et les services derrière, et émet un finding par port joignable, avec la preuve. Security Hub Exposures corrèle ensuite ces findings avec ceux de configuration. C'est inclus dans Security Hub Essentials sans coût supplémentaire, activé par défaut pour les nouveaux clients, et les clients existants l'activent par compte et par Région ou sur toute l'organisation via une politique de configuration.

C'est une question différente de celle à laquelle Security Hub répondait déjà. « Est-ce que ceci pourrait être joignable, vu les security groups et les tables de routage » est un modèle de votre réseau ; « est-ce joignable, je viens de m'y connecter » est une mesure. Les deux divergent plus souvent que les équipes ne le pensent, dans les deux sens : un security group permissif derrière un NLB qui ne transmet que le 443, ou un port joignable que personne n'a modélisé parce qu'il est arrivé via un peering oublié. Le mode de défaillance, c'est le volume. Si vous exploitez volontairement des ALB publics sur 443, vous aurez un finding pour chacun, et la tentation sera de supprimer tout le contrôle. Ne le faites pas. Supprimez par ressource, gardez le contrôle, et laissez Exposures faire la corrélation qui vous dit lesquels des ports ouverts sont aussi sur un hôte avec une CVE exploitable.

La baisse des frais GPU, et ce qu'elle dit d'Auto Mode

EKS Auto Mode et ECS Managed Instances ont tous deux réduit leurs frais de gestion sur les instances accélérées : 35 % sur la série G, 60 % sur la série P et AWS Trainium, à compter du 1er juillet et appliqués automatiquement. EKS Auto Mode a aussi gagné le pull d'images en parallèle sur les instances GPU avec NVMe local et une réparation de nœuds consciente des accélérateurs ; ECS Managed Instances expose l'utilisation, la mémoire et la température des GPU dans Container Insights et remplace les instances en cas de panne matérielle du GPU.

Les frais de gestion étaient la taxe honnête pour laisser AWS faire tourner votre data plane, et sur la série P ils étaient assez élevés pour que les équipes attentives aux coûts gardent leurs node groups GPU en autogestion tout en mettant le reste dans Auto Mode. Les réduire de 60 % resserre cet écart jusqu'au point où l'argument opérationnel l'emporte pour la plupart des équipes. Vérifiez le tableau des tarifs par instance sur la page de prix : les pourcentages sont par famille et votre facture est par heure d'instance.

Aussi cette semaine

  • La change data capture d'Aurora DSQL est GA : elle diffuse les insertions, mises à jour et suppressions vers Kinesis Data Streams, puis via Firehose vers S3, Redshift ou OpenSearch ; l'annonce ne dit rien de l'ordre ni de la sémantique de livraison, donc construisez des consommateurs idempotents jusqu'à ce que la doc dise le contraire.
  • OAuth pour l'AWS MCP Server : les agents se connectent via le navigateur avec la même identité que celle de la console, obtiennent des jetons de courte durée, et un flux headless passe par create-oauth2-token-with-iam ; de nouvelles clés de condition IAM et de nouveaux champs CloudTrail arrivent avec.
  • Claude apps gateway for AWS, un control plane auto-hébergé qui place une connexion OIDC, des réglages gérés et des plafonds de dépense par utilisateur devant Claude Code et Claude Desktop, en routant l'inférence vers Bedrock. Plus de détails côté agents sur ercan.ai.
  • Loom for AWS, open source chez AWS Labs : une interface de gestion et une API pour déployer des agents Strands sur AgentCore Runtime avec RBAC, ABAC et tagging imposé.
  • Intégration SageMaker Studio et Hugging Face : déploiement ou personnalisation en un clic, avec un quota G5, G6 et G4dn par défaut pour les clients vérifiés.
  • S3 Vectors a atteint les deux Régions AWS GovCloud (US).
  • Extension régionale EC2 : C8ine à Francfort et I7ie à Hyderabad.
  • Sandbox Environments sur AWS Builder Center : des comptes gratuits pré-provisionnés pour les exercices d'atelier, huit heures chacun, un par semaine, alors que la plateforme fête son premier anniversaire.

Le fil conducteur

Trois des lancements de la semaine confient à une machine un workflow jusque-là interactif : la conversion de schéma à un agent dans l'IDE, les vagues de migration au mode expert, la connexion des agents à OAuth. Chacun retire une étape où un humain s'arrêtait pour regarder. Les annonces ne retirent pas les points de contrôle, le rapport d'évaluation, la confirmation de l'inventaire, l'onglet Approvals ; elles rendent simplement possible de les traverser en courant. Network Scanning est le contrepoids : une mesure, et non un modèle, de ce que l'automatisation du reste de la semaine a laissé exposé. Si vous adoptez les trois premiers, adoptez le quatrième.

À lire ensuite

Pour la lecture IA et agents des mêmes semaines, les notes de terrain vivent sur ercan.ai. Le conseil en AWS, cloud, pipelines CI/CD, Linux, GitHub/GitLab et plus encore passe par ercanermis.com.

Références