La settimana dal 29 giugno al 5 luglio 2026 ha riguardato le due metà di un deployment: portarlo fuori e riprenderselo indietro. La modalità Express di CloudFormation restituisce il controllo fino a 4 volte prima, dichiarando un deployment completo quando la configurazione è applicata invece che quando ogni risorsa si è stabilizzata, con il rollback disattivato di default. Amazon EKS ti permette di annullare un upgrade di versione Kubernetes entro sette giorni. ECS ha reso configurabile il suo circuit breaker. E ACM ora parla ACME, portando certificati pubblici su host che il load balancer non raggiunge mai.

Sotto i lanci, un Service Availability Update del 30 giugno ha messo una dozzina di servizi e funzionalità in manutenzione a partire dal 30 luglio. Quella lista merita una voce in calendario più di qualsiasi lancio di questa settimana.

CloudFormation Express mode: ora "completato" significa qualcosa di diverso

La modalità Express di CloudFormation e CDK è stata lanciata il 30 giugno in tutte le Region commerciali senza costi aggiuntivi. Un deployment termina quando CloudFormation conferma che la configurazione delle risorse è applicata, saltando i controlli estesi di stabilizzazione; le risorse continuano a diventare operative in background. Si attiva per singola operazione con --deployment-config '{"mode": "EXPRESS", "disableRollback": true}' su create, update o delete, oppure con cdk deploy --express. Gli stack annidati ereditano la modalità del padre. L'esempio del post: eliminare una funzione Lambda con un'interfaccia di rete VPC passa da 20 o 30 minuti a meno di 10 secondi.

Rileggi il nome del flag: in modalità Express il rollback è disattivato di default; imposta disableRollback a false per la produzione. Il cambiamento più grande è semantico. Ogni pipeline CI che esegue uno smoke test nel momento in cui deploy ritorna ha fatto affidamento sulla stabilizzazione come gate implicito di readiness. In modalità Express quel gate non c'è più, quindi lo smoke test può entrare in race con la risorsa che sta testando. AWS lo dice esplicitamente: usa la modalità di default quando le risorse devono essere operative prima di ricevere traffico. La modalità Express appartiene prima di tutto ai dev loop e agli ambienti di review effimeri.

Il lancio gemello, la validazione pre-deployment su tutte le operazioni di stack (30 giugno), è attivo di default: errori di sintassi nelle proprietà, conflitti di nome e vincoli su bucket S3 non vuoti vengono intercettati su CreateStack e UpdateStack prima che qualsiasi risorsa venga toccata, dove in precedenza li eseguiva solo la creazione di un change set, e i change set ora avvisano su limiti di quota, conflitti con il recorder di Config e repository ECR che contengono ancora immagini. cdk deploy e cdk validate mostrano i risultati con tracciamento a livello di construct. Se segui una regola IaC-first, questi due insieme sono il cambiamento più grande al tuo inner loop dai tempi dei change set.

Rollback di versione su EKS: sette giorni per cambiare idea

Amazon EKS ora supporta il rollback di versione Kubernetes (1 luglio): entro sette giorni da un upgrade puoi riportare un cluster alla versione minor precedente, un passo alla volta, senza costi aggiuntivi, in ogni Region commerciale, in supporto standard o extended. I cluster insights controllano prima la compatibilità dei nodi e le dipendenze degli add-on; --force li bypassa. Il rollback del control plane funziona su tutti i cluster. Il rollback dei nodi è disponibile solo su EKS Auto Mode, dove control plane e nodi tornano indietro insieme rispettando i Pod disruption budget, con un'API di cancel. Il rollback del control plane dell'autore ha richiesto circa 20 minuti con il cluster funzionante per tutto il tempo.

Per i node group gestiti e self-managed il control plane può tornare indietro e i tuoi nodi no, quindi la finestra di sette giorni è in realtà una cadenza "prima il control plane, i nodi dopo qualche giorno di fiducia". La domanda a cui il post non risponde, e che dovresti testare in staging, è cosa succede agli oggetti creati contro API che esistono solo nella versione più nuova durante quella finestra.

Nello stesso spirito, le impostazioni del circuit breaker di deployment di ECS ora sono configurabili (1 luglio): una soglia come numero fisso di task o come percentuale del desired count, e una scelta tra fallimenti consecutivi (il contatore si azzera su un task sano) e cumulativi. Supportato in CloudFormation, CDK e Terraform, per servizi nuovi ed esistenti.

ACME in ACM: certificati pubblici dove ALB non arriva

AWS Certificate Manager ora supporta ACME (30 giugno, tutte le Region commerciali; GovCloud, Cina e European Sovereign Cloud a seguire). Crei un endpoint ACME, punti Certbot, acme.sh o cert-manager a https://acm-acme-enroll.us-east-1.api.aws/<ENDPOINT_ID>/directory e registri il client con credenziali External Account Binding prese dalla console. I domini vengono validati una volta sola, a livello di endpoint, tramite CNAME DNS (creato automaticamente per le zone Route 53), così chi possiede le applicazioni non ha mai bisogno di accesso al DNS, e ogni endpoint consente o nega gli ambiti dominio esatto, sottodominio e wildcard. I certificati arrivano da Amazon Trust Services; il prezzo è per dominio per emissione.

ACM è stato gratuito e senza sforzo per tutto ciò che termina su ALB, CloudFront o API Gateway, e inutile per tutto il resto: un host EC2 che serve TLS, un container che fa mTLS, una macchina on-premises. Quello era territorio di Let's Encrypt, con i cron job e i plugin DNS che si porta dietro. Il trade-off è il denaro: Let's Encrypt è gratuito, ACM ACME fa pagare per dominio all'emissione, e le riduzioni di validità del CA/Browser Forum (100 giorni da marzo 2027, 47 giorni entro il 2029) moltiplicano le emissioni. Abbinalo al Workload Credentials Provider di tre settimane fa e la storia dei certificati on-host è completa.

La lista di manutenzione

I Service Availability Update del 30 giugno spostano questi in manutenzione, senza nuovi accessi per i clienti dal 30 luglio 2026: Amazon Bedrock Agents (la versione di novembre 2023, ora "Agents Classic"), Cognito Sync, Kendra, Q Business, Directory Service Simple AD, Mainframe Modernization Self-Managed Experience, Console myApplications, Resource Groups Group Lifecycle Events, Service Catalog Application Registry, Systems Manager Application Manager e nove funzionalità di SageMaker AI tra cui Clarify, Debugger, Ground Truth e Model Monitor. IoT Device Defender Detect segue il 31 agosto. Entrano in sunset: WorkSpaces PCoIP, WorkSpaces Pools, AMS Advanced, re:Post Private e SageMaker Profiler. Il piano per AMS Advanced è esplicito: nessuna nuova landing zone dopo il 30 giugno 2026, chiusura completa il 30 giugno 2027, con AMS Accelerate come approdo suggerito.

Due note di migrazione. Simple AD che va in manutenzione significa che la directory economica che molti piccoli parchi usavano per WorkSpaces e per l'autenticazione di RDS SQL Server ha bisogno di un piano. E la chiusura della Mainframe Modernization Self-Managed Experience mentre AWS Transform per mainframe aggiunge un percorso di reimagine ti dice quale strategia mainframe AWS intende finanziare.

Anche questa settimana

Il filo conduttore

AWS ha passato questa settimana a rendere reale il pulsante di annulla: una versione Kubernetes da cui puoi tornare indietro, un circuit breaker che puoi regolare, una modalità di deployment che ritorna presto e lo dichiara. La lista di manutenzione è la stessa idea applicata al portafoglio di AWS. Entrambe spostano una decisione su di te: la modalità Express chiede se la tua pipeline sa cosa significa "pronto", e la lista di manutenzione chiede se il tuo parco gira ancora su qualcosa in cui AWS ha smesso di investire. Rispondi a entrambe prima del 30 luglio.

Leggi questo dopo

Gli annunci della settimana su agenti e modelli, tra cui Sonnet 5 e WorkSpaces per agenti, sono trattati su ercan.ai. Per consulenza su AWS, cloud, pipeline CI/CD, Linux, GitHub/GitLab e altro, parti da ercanermis.com.

Riferimenti