La settimana dal 1 al 7 giugno 2026 ha tolto due ragioni di lunga data per lasciare un workload dov'è: la licenza SQL Server che inchiodava i database a EC2, e lo user pool Cognito che inchiodava un'applicazione a una sola Region. Nessuno dei due lanci è glamour. Entrambi cambiano una conversazione sulla migrazione che prima finiva con "non possiamo, perché".

Sotto di essi, Kubernetes 1.36 è arrivato su Amazon EKS con gli user namespace generally available, Fargate è cresciuto fino a task da 32 vCPU, e il Cost and Usage Report arriva finalmente in Athena e Redshift senza una pipeline costruita a mano. Letta nel suo insieme, è stata una settimana di idraulica, e le settimane di idraulica sono quelle in cui i team di piattaforma risparmiano soldi veri.

RDS for SQL Server: porta la licenza che hai già pagato

Amazon RDS for SQL Server ora supporta Bring Your Own Media, pubblicato il 2 giugno. I clienti che arrivano da on-premises, da un altro cloud o da SQL Server self-managed su EC2 possono girare su RDS riutilizzando le licenze SQL Server esistenti, Software Assurance inclusa, tramite il programma License Mobility di Microsoft. L'uso delle licenze è tracciato attraverso AWS License Manager.

Finora l'opzione RDS era License Included, il che significava pagare Microsoft due volte se eri a metà di un enterprise agreement. È la singola ragione più comune che ho sentito per un parco SQL Server finito su EC2 invece che su RDS: non un vincolo tecnico, uno di procurement. BYOM toglie l'argomento, e arriva una settimana prima che AWS Transform aggiunga una valutazione dei costi che confronta BYOM con License Included (quella è datata 8 giugno, quindi appartiene al post della prossima settimana).

Il trade-off è quello che License Mobility porta sempre con sé: dipende da una Software Assurance attiva, e la posizione di compliance ora è tua da dimostrare su un servizio gestito. License Manager aiuta con il conteggio; non aiuta con l'audit. Decidi chi ne è owner prima della prima istanza.

Cognito ottiene una seconda Region, con condizioni

La replica multi-Region di Amazon Cognito mantiene una copia sincronizzata di profili utente, credenziali e configurazione del pool in una Region secondaria. Il post di lancio ne descrive la forma: la replica è unidirezionale, la secondaria è read-only e serve l'autenticazione, i token emessi da una delle due Region sono riconosciuti da entrambe, e la federazione (social, SAML, OIDC) funziona dalla replica. È un add-on per i pool di livello Essentials e Plus in 16 Region, al prezzo di $0.0045 per utente attivo mensile per Region replica su Essentials, $0.006 su Plus, e un sovrapprezzo del 30% sui token machine-to-machine.

Cognito era il componente che rendeva "multi-Region" una bugia in molte architetture: il database replicava, il compute era stateless, e l'identity provider viveva in un posto solo. Questo lo risolve, ma leggi i passi di configurazione prima di festeggiare. Ti serve una chiave KMS multi-Region, e devi cambiare il tipo di issuer OIDC ai nuovi endpoint multi-Region, il che significa rifare il deploy di ogni client server-side e distribuire aggiornamenti delle app mobile. Trigger Lambda, configurazione SMS ed email, streaming dei log e regole WAF non vengono replicati; li ricostruisci a mano nella Region di destinazione. Durante il failover il sign-in continua, ma nuove registrazioni e aggiornamenti dei profili si fermano.

Il failover in sé è tuo: aggiornamenti DNS guidati da health check che progetti tu. Per il managed login con dominio custom c'è un routing integrato basato su un health check di Route 53. Il consiglio del post di instradare una piccola quota di traffico fuori picco verso la secondaria prima di averne bisogno è tutto il gioco. Uno standby mai testato è un'ipotesi.

Kubernetes 1.36 su EKS: meno webhook, meno root

Amazon EKS ed EKS Distro supportano Kubernetes 1.36 in tutte le Region in cui EKS è disponibile, GovCloud inclusa. Quattro funzionalità contano per chi opera la piattaforma: gli User Namespace sono generally available e mappano il root del container su un utente host non privilegiato, così un container breakout non compra alcun privilegio sul nodo; le Mutating Admission Policy permettono di esprimere mutazioni basate su CEL nell'API server senza far girare infrastruttura di webhook; il vertical scaling in-place a livello di Pod ridimensiona il budget condiviso di CPU e memoria di un Pod senza riavvio; e il Resource Health Status espone lo stato di salute dei device nello status del Pod.

Quella su cui agire è Mutating Admission Policies. Ogni mutating webhook che fai girare è un componente sul percorso critico di ogni kubectl apply, con il suo TLS, la sua disponibilità e il suo timeout. Spostare l'injection dei sidecar, le label di default e le riscritture delle immagini in policy CEL elimina una classe di interruzioni. User Namespaces è la vittoria sul fronte sicurezza, ma richiede supporto da runtime e nodi, quindi trattala come una migrazione di node group e non come un flag.

CUR 2.0 in Athena e Redshift, senza la colla

Il Cost and Usage Report 2.0 ora si integra con Athena e Redshift. Scegli l'engine, e l'export arriva nel formato giusto (Parquet o GZIP) con template, definizioni delle tabelle e istruzioni di caricamento; le tabelle si aggiornano man mano che i dati vengono rinfrescati. Chiunque abbia mantenuto un crawler Glue più uno stack CloudFormation solo per rendere interrogabili i dati di fatturazione sa cosa sostituisce. È disponibile in tutte le Region commerciali, non in GovCloud o Cina. Abbinalo al nuovo lookback di 32 giorni di Compute Optimizer per il rightsizing di EBS ed ECS, che finalmente copre un ciclo mensile intero.

Anche questa settimana

Il filo conduttore

Nessuno dei lanci di questa settimana aggiunge una capacità che non potevi costruire prima. Potevi far girare SQL Server su EC2 con la tua licenza. Potevi scrivere un job di export di Cognito e pregare. Potevi far girare webhook. Quello che è cambiato è che il percorso gestito ora copre il caso che prima forzava quello non gestito, e il divario tra "cosa vorremmo far girare" e "cosa la licenza o l'architettura permettono" si è chiuso un po'. Sono quelle le settimane che muovono le migrazioni, non quelle dei keynote.

Leggi questo dopo

La lettura AI e agenti della settimana vive su ercan.ai. Per consulenza su AWS, cloud, pipeline CI/CD, Linux, GitHub/GitLab e altro, parti da ercanermis.com.

Riferimenti