Due vincoli attorno ai quali i team di piattaforma avevano progettato per un decennio sono spariti nella settimana del 13 luglio. S3 ha eliminato l'attesa di 30 giorni prima che un oggetto possa passare da S3 Standard a Standard-IA o One Zone-IA, e Lambda ha smesso di copiare il tuo pacchetto di deployment nel proprio storage, il che rimuove la quota di code storage e accorcia l'attivazione dopo un deploy. Una terza modifica è più piccola ma conta per chiunque stia consolidando l'identità: Cognito ora può importare utenti con i loro hash password esistenti, così una migrazione da un altro identity provider non costringe più ogni utente a reimpostare la password. Sul lato AI, GPT-5.6 Sol, Terra e Luna di OpenAI sono passati in GA su Bedrock.

In questa finestra non è arrivato nessun lancio su migrazione o modernizzazione oltre alla modifica di Cognito, quindi il post è più corto di quello della settimana scorsa. Resta una settimana con un tema: AWS ha rimosso limiti che esistevano per la comodità di AWS, non per la tua.

S3: Infrequent Access dal giorno zero

Fino al 16 luglio una regola di lifecycle non poteva far transitare un oggetto verso S3 Standard-IA o One Zone-IA finché non era rimasto in S3 Standard per 30 giorni. Ora la regola può dire 0 giorni, e la transizione avviene già il giorno in cui l'oggetto viene creato. AWS lo propone per backup, analisi dei log e dati di compliance che diventano freddi nel giro di ore, e la tariffa di storage delle classi IA è fino al 40% sotto S3 Standard con lo stesso accesso in millisecondi.

Leggi le considerazioni sulle transizioni prima di portare ogni regola a zero, perché le cose che rendevano IA costoso per il workload sbagliato sono rimaste intatte. Gli oggetti sotto i 128 KB non transitano di default, e paghi comunque una richiesta di transizione per oggetto, quindi un bucket di piccoli frammenti di log diventa più costoso, non meno. Le classi IA mantengono il loro addebito per durata minima di storage, quindi un oggetto che scrivi, sposti di livello il giorno zero e cancelli il giorno tre viene fatturato come se fosse rimasto. E IA addebita per GB recuperato, che è ciò che trasforma i dati "freddi" in una sorpresa quando un job di riprocessamento li rilegge tutti. Una regola concreta per un prefisso di backup ha questo aspetto:

{
  "Rules": [{
    "ID": "backups-to-ia-day-zero",
    "Status": "Enabled",
    "Filter": { "Prefix": "backups/" },
    "Transitions": [{ "Days": 0, "StorageClass": "STANDARD_IA" }]
  }]
}

Il workload giusto sono dati scritti una volta, letti raramente e conservati oltre la durata minima. Backup e archivi di compliance rientrano. I log applicativi che segui con tail per una settimana no, e S3 Intelligent-Tiering gestiva già il caso "non lo so" senza la fee di recupero.

Lambda: il tuo bucket è la fonte di verità

Lambda copiava ogni pacchetto di deployment nello storage gestito da Lambda quando creavi o aggiornavi una funzione o un layer. Quella copia era ciò che la quota di code storage da 75 GB per Region contava, ed era un passaggio nel percorso critico di ogni deploy. Dal 15 luglio puoi impostare S3ObjectStorageMode a REFERENCE su una funzione o un layer e Lambda legge invece il codice dal tuo bucket. Il codice referenziato non conta ai fini della quota, la quota gestita stessa è salita da 75 GB a 300 GB per tutti gli altri, non c'è alcun costo Lambda aggiuntivo, e paghi lo storage S3 più il trasferimento cross-Region dove si applica. Il service principal di Lambda ha bisogno di s3:GetObject e s3:GetObjectVersion sul bucket.

Il compromesso è che ora possiedi una dipendenza di disponibilità che prima non avevi. Se l'oggetto nel bucket viene cancellato, sovrascritto, o la sua policy si rompe, quello è un incidente Lambda. Il versioning sul bucket smette di essere opzionale, la pipeline di deployment deve scrivere chiavi nuove invece di sovrascrivere, e la bucket policy ha bisogno dello stesso change control del ruolo IAM della funzione. I team con centinaia di funzioni e layer, dove la quota da 75 GB significava un ticket al supporto ogni trimestre, sono quelli che ne traggono di più. Un team con venti funzioni dovrebbe chiedersi se l'attivazione più rapida vale un'altra cosa che può essere configurata male.

Cognito: la migrazione che non reimposta più le password

Spostare una base utenti in Cognito tramite import CSV ha sempre avuto un momento brutto: ogni utente importato doveva reimpostare la password al primo accesso, perché Cognito non poteva accettare gli hash dal sistema sorgente. Dal 15 luglio il CSV può trasportare gli hash, tu dichiari l'algoritmo, e Cognito verifica la password dell'utente contro l'hash importato al primo accesso, poi la riprotegge. Supportati: bcrypt, scrypt, Argon2id e PBKDF2 con SHA-256, in ogni Region in cui Cognito è disponibile.

È il tipo di modifica che decide se un progetto di consolidamento si fa o no. Il reset forzato era il motivo per cui molti team tenevano in vita un IdP legacy in parallelo per un anno, con il trigger di migrazione al primo login. Ora il cutover può essere un singolo import. La modalità di guasto è l'export degli hash stesso: il sistema sorgente deve darti i parametri dell'algoritmo esatti, e una discrepanza non fallisce in modo rumoroso, fallisce come "password errata" per l'intera base utenti in una volta. Testa con un campione che includa utenti su ogni configurazione di hashing storica che il vecchio sistema abbia mai usato.

Anche questa settimana

Il filo conduttore

La regola dei 30 giorni di S3 e la copia del codice di Lambda erano entrambi artefatti di come AWS aveva costruito il servizio, non di ciò di cui i clienti avevano bisogno. Entrambi venivano aggirati con strumenti: Intelligent-Tiering per il primo, script di pruning dei layer e ticket per le quote per il secondo. Rimuoverli è un bene, ed è anche un promemoria di cosa il workaround stava nascondendo. IA dal giorno zero espone il pricing di recupero e di durata minima che l'attesa di 30 giorni impediva alla maggior parte delle persone di incontrare. Il codice referenziato espone il tuo bucket come dipendenza a runtime. L'import degli hash di Cognito rimuove il reset forzato ed espone la qualità dell'export del tuo vecchio IdP. In ogni caso AWS ti ha restituito una decisione che prima prendeva al posto tuo.

Leggi questo dopo

Per la lettura AI e agenti delle stesse settimane, le field notes vivono su ercan.ai. Per consulenza su AWS, cloud, pipeline CI/CD, Linux, GitHub/GitLab e altro, parti da ercanermis.com.

Riferimenti