La settimana del 10 agosto è stata quella in cui AWS si è presa in carico decisioni che i team di piattaforma prendevano a mano, e due di queste meritano un secondo sguardo prima di accettare il default. Gli application status check di EC2 permettono a EC2 stesso di interrogare un endpoint HTTP sulla tua istanza e passare il risultato ad Auto Scaling, e IAM role manager è passato in GA: crea i ruoli IAM di cui un servizio ha bisogno mentre tu clicchi nella sua console. Sempre questa settimana: ACM ha messo delle date alla fine della validazione via email, e MSK ha imparato a migrare un cluster da ZooKeeper a KRaft in place. Nessun lancio di AWS Transform questa settimana; sul fronte modernizzazione ci sono stati quello di MSK e una correzione più discreta in Elastic Disaster Recovery.

Application status check di EC2: health check senza load balancer

Fino a oggi EC2 aveva due status check: system (l'host) e instance (il sistema operativo guest). Il nuovo application status check aggiunge un terzo livello. Definisci protocollo, porta e path più i codici di risposta che contano come sani, associ il check alle istanze per ID o per tag, e EC2 invia una richiesta HTTP o HTTPS ogni 60 secondi e riporta il risultato accanto agli altri due. Gli Auto Scaling group possono sostituire le istanze che lo falliscono. Tutte le Region commerciali e GovCloud (US).

La domanda ovvia è perché volerlo quando il target group dell'ALB fa già l'health check sullo stesso path. La risposta è ogni istanza che non sta dietro a un load balancer: worker che consumano da SQS, scheduler, un host Docker il cui daemon è morto mentre l'istanza continuava a rispondere a ICMP. Quelle macchine oggi sono "sane" per ogni segnale che EC2 possiede, e l'on-call lo scopre da un cliente. La modalità di guasto da cui proteggersi è quella opposta: un endpoint di health che dipende da un sistema a valle (un database, una cache) butta giù l'intera flotta quando quel sistema ha un singhiozzo, perché l'ASG sostituirà istanze che stavano benissimo. Tieni il path interrogato superficiale, e ricorda che l'associazione via tag significa che un refuso in un tag può lasciare metà flotta senza controllo in silenzio, quindi dopo il rollout verifica con aws ec2 describe-instance-status.

IAM role manager: comodo, e il default per Lambda è largo

Role manager osserva cosa configuri in una console supportata (sei al lancio, tra cui Lambda ed EventBridge) e crea un ruolo di default oppure riusa uno già presente nell'account che calza, tramite la nuova API AcquireRole confrontata con i template di ruolo gestiti da AWS. I ruoli sono normali ruoli IAM che controlli per intero, è una sola impostazione a livello di account nella console IAM, ed è abilitata di default negli account creati con la nuova esperienza AWS. Non disponibile in GovCloud (US) e in Cina.

Il dettaglio che dovrebbe guidare la tua decisione sta nel post del security blog: poiché i permessi di una funzione Lambda non si possono conoscere prima che il codice esista, il ruolo che riceve porta con sé PowerUserAccess, che esclude IAM, Organizations e le impostazioni dell'account ma include tutto il resto. La risposta di AWS è di eseguire IAM Access Analyzer più avanti e restringerlo. È una storia ragionevole per una sandbox di sviluppo e pessima per la produzione, perché "più avanti" è il passo che non arriva mai. Se i tuoi account già provisionano i ruoli con Terraform o CDK, disattivalo, e usa una SCP per impedire agli account membri di riattivarlo; il post conferma che le SCP possono bloccarlo. Se lo vuoi attivo per le sandbox, abbinalo all'account access manager della stessa settimana, che assegna i ruoli IAM di un account a utenti e gruppi di Identity Center, così almeno gli umani che reggono quei ruoli larghi sono federati.

La validazione email in ACM finisce nel 2027, e le date sono scaglionate

In seguito alla decisione del CA/Browser Forum di novembre 2025, ACM smetterà di supportare i certificati pubblici validati via email in tre passi: nessuna validazione email nelle nuove Region dopo il 1 gennaio 2027, nessuna nuova richiesta validata via email ovunque dopo il 31 marzo 2027, e nessun rinnovo dei certificati validati via email esistenti dopo il 30 settembre 2027. I certificati emessi prima della scadenza di settore restano validi fino all'expiry, quindi nulla si rompe quel giorno; quello che si rompe è il rinnovo un anno dopo, su un certificato che nessuno ricorda di aver richiesto.

La migrazione costa poco se la fai adesso. Filtra la console ACM per metodo di validazione Email e tipo Amazon Issued, o fallo via script, poi cambia ogni certificato in place con aws acm update-certificate-options, che mantiene l'ARN così nessun listener o distribution va modificato. Aggiungi il CNAME entro la finestra di 72 ore e ACM rinnova con il nuovo metodo. Esiste anche la validazione HTTP, ma solo per CloudFront. Trattalo come un ticket del Q3, non del 2027.

MSK: da ZooKeeper a KRaft senza un nuovo cluster

Kafka 3.9.x è l'ultima linea che supporta ZooKeeper e Kafka 4.x è solo KRaft, quindi ogni cluster MSK provisioned ancora su ZooKeeper ha una migrazione davanti a sé. MSK ora la fa in place: nessuna nuova infrastruttura, nessuna copia dei dati, nessuna riconfigurazione dei client, e secondo AWS il cluster resta disponibile per tutta la durata. Devi prima essere su 3.9.x. Disponibile ovunque giri MSK provisioned tranne lo European Sovereign Cloud. È il tipo di modernizzazione che non viene mai prioritizzata perché non ha una feature attaccata, ed è esattamente per questo che un percorso a un solo pulsante conta: trasforma un progetto da un trimestre in una finestra di cambiamento.

Anche questa settimana

Il filo conduttore

Application status check e role manager sono la stessa mossa in due direzioni. Uno lascia che EC2 osservi la tua applicazione per poter agire al posto tuo; l'altro lascia che IAM agisca al posto tuo prima che tu abbia osservato qualcosa. Il primo è un buon scambio perché il raggio d'impatto di un health check sbagliato è una flotta ed è rumoroso. Il secondo è uno scambio peggiore perché il raggio d'impatto di un ruolo largo è l'account ed è silenzioso. La scadenza di ACM e la migrazione MSK ricordano che la metà poco glamour del lavoro di piattaforma, rinnovi e versioni minime, è dove vivono le interruzioni vere. Metti le tre voci con una data sul calendario questa settimana e discuti di role manager con calma.

Leggi questo dopo

Per la lettura AI e agenti della stessa settimana, le note sul campo stanno su ercan.ai. Per consulenza su AWS, cloud, pipeline CI/CD, Linux, GitHub/GitLab e altro, parti da ercanermis.com.

Riferimenti