La settimana del 5 ottobre 2026 ha avuto due filoni degni dell'attenzione di un team di piattaforma: AWS Transform ha imparato a inventariare i parchi Microsoft Hyper-V senza installare nulla sugli host, e una serie di lanci minori ha spinto i controlli su identità e certificati giù in livelli che prima si fidavano della rete su cui stavano. Gli event source mapping Kafka di Lambda accettano OAuth, la directory di IAM Identity Center può rifiutare le richieste che bypassano i tuoi VPC endpoint, l'emissione ACME pubblica passa su PrivateLink, e GuardDuty legge le query PostgreSQL invece dei soli login. Nessuno di questi è un titolo da prima pagina. Insieme sono la settimana.

Lo sportello migrazioni: Hyper-V ottiene la discovery agentless

Il 7 ottobre AWS ha pubblicato Discover and migrate Microsoft Hyper-V workloads with AWS Transform, catalogato come annuncio. Lo strumento di discovery di Transform ora registra ogni host Hyper-V come sorgente, si connette via WinRM e legge vCPU, memoria, dischi, schede di rete, stato di alimentazione e appartenenza al failover cluster di ogni VM. La raccolta si ripete ogni ora, le VM in cluster vengono deduplicate, e System Center Virtual Machine Manager non è richiesto. Lo strumento è distribuito come appliance VHD che raccoglie anche da vCenter e da bare metal importato via CSV, così un parco misto ottiene un unico inventario. Con le credenziali guest aggiunge campioni di performance ogni 10 minuti, connessioni di rete per la mappatura delle dipendenze e dettagli su SQL Server e Oracle, alimentando la catena consueta: caso TCO con dimensionamento EC2 dall'utilizzo misurato, piano a ondate, landing zone.

Lo spostamento in sé resta AWS Transform MGN a livello di sistema operativo guest, il che significa un agente di replica su ogni server sorgente. La discovery è agentless; la migrazione no, e le approvazioni di change per il rollout dell'agente sono la parte che consuma calendario.

Due post di accompagnamento sono usciti la stessa settimana. When to use what: A guide to AWS Transform interfaces (9 ottobre) è la prima mappa chiara di console, Kiro e altri IDE con AI, la CLI atx con i flag non interattivi -x -t per le pipeline, e il server MCP. Leggilo prima di scegliere un punto di ingresso: la CLI copre solo le trasformazioni personalizzate. E Run least-privilege AWS DMS CDC migration from SQL Server (6 ottobre) è il write-up sui permessi con cui ogni progetto DMS avrebbe dovuto iniziare.

OAuth arriva ai consumer Kafka di Lambda

Il 9 ottobre AWS Lambda ha aggiunto l'autenticazione OAuth per gli event source mapping Apache Kafka self-managed. Finora un ESM Kafka poteva autenticarsi con SASL/PLAIN, SASL/SCRAM o mTLS, nient'altro. I team con cluster bloccati su un IdP solo OAuth (Okta, Cognito) non potevano usare l'ESM affatto, quindi gestivano una flotta di consumer propria e perdevano scaling, batching, filtering e gestione degli errori che l'ESM regala. Funziona per i cluster self-hosted e per Confluent Cloud, Aiven e Redpanda.

Il trade-off: l'identità del tuo consumer è ora un token con una durata, quindi un'interruzione dell'IdP si manifesta come un event source mapping bloccato invece di un errore di login che qualcuno guarda. Metti la metrica OffsetLag dell'ESM sotto allarme prima di cambiare il metodo di autenticazione, non dopo.

Il piano identità e certificati diventa privato

Tre lanci del 5 e 6 ottobre condividono una stessa forma. IAM Identity Center ora supporta i controlli di accesso di rete per Identity Store: puoi richiedere che le chiamate API a Identity Store arrivino solo tramite VPC endpoint autorizzati nel tuo account o nella tua organizzazione, e limitare l'API SCIM che il tuo IdP esterno usa per sincronizzare utenti e gruppi. La directory che definisce chi è la tua forza lavoro diventa raggiungibile solo da dove dici tu.

ACM ora supporta l'emissione ACME tramite AWS PrivateLink. Crei un VPC interface endpoint verso il servizio ACM ACME e il DNS privato risolve il tuo URL di directory ACME esistente su di esso, così qualsiasi client ACMEv2 rinnova certificati pubblici senza percorso verso internet e senza modifiche al client. Per gli host in subnet private che tengono una rotta NAT solo per rinnovare i certificati, è un'intera eccezione di egress che sparisce.

AWS Private CA ora emette log dettagliati di emissione dei certificati: un evento di servizio CloudTrail, IssueCertificateDetails, con il contenuto completo del certificato, la CA emittente, l'identità del richiedente e lo stato di firma per ogni emissione, incluse quelle fallite prima della firma. Il vecchio management event ti dava un ARN. Se stai seguendo una migrazione di algoritmo o ti serve un inventario dei certificati che non sia un foglio di calcolo, questa è la fonte di verità che ti mancava.

Trattali come un unico change set: Identity Store e SCIM dietro VPC endpoint, ACME su PrivateLink, log di emissione nell'account di audit. La modalità di guasto da pianificare è il percorso break-glass. Quando la policy dell'endpoint è sbagliata, la sincronizzazione SCIM si ferma in silenzio e l'errore compare come "user not found" in un'applicazione non correlata due giorni dopo.

GuardDuty legge le query, non solo i login

L'8 ottobre GuardDuty RDS Protection si è esteso al rilevamento di esfiltrazione e distruzione dei dati su Aurora PostgreSQL e RDS for PostgreSQL. Prima guardava le anomalie di login. Ora stabilisce una baseline dell'attività sui dati e segnala gli accessi insoliti usando anomaly detection più threat intelligence, senza agenti e senza modifiche al database. Il vuoto che chiude è quello che ogni report post-incidente menziona: una volta che un attaccante ha credenziali valide, le sue query sono identiche a quelle dell'applicazione. Il monitoraggio dei login non vede nulla. Il monitoraggio della forma delle query ha almeno una possibilità.

Anche questa settimana

Il filo conduttore

Per anni il pattern è stato: autentica l'utente al bordo, poi fidati della rete dietro. Questa settimana AWS ha continuato a spostare il controllo verso l'interno. L'API della directory vuole sapere da quale VPC endpoint sei arrivato. Il rinnovo del certificato non esce mai dalla VPC. Il consumer Kafka porta con sé un token dell'IdP. Il modello di minaccia del database presuppone che la credenziale sia già rubata e guarda cosa fanno le query. Sul lato migrazione, Transform legge gli host Hyper-V via WinRM invece di piantare agenti, lo stesso istinto applicato al parco che stai lasciando. Il numero di posti in cui "è dentro la rete" vale come risposta si è ridotto di nuovo.

Leggi questo dopo

Per la lettura su modelli e agenti della stessa settimana, le note AI sono su ercan.ai. Per consulenza su AWS, cloud, pipeline CI/CD, Linux, GitHub/GitLab e altro, parti da ercanermis.com.

Riferimenti