La settimana del 6 luglio è stata quella in cui gli strumenti di migrazione AWS hanno smesso di presupporre che ci sia un umano a cliccare. DMS Schema Conversion è diventato pilotabile da Kiro, Claude Code e Cursor tramite l'AWS MCP Server, e AWS Transform for migrations ha aggiunto una modalità expert che prende i tuoi input in anticipo ed esegue i passaggi senza il botta e risposta della chat. Intorno a loro, Security Hub ha iniziato a sondare il tuo parco dall'internet pubblico invece di dedurre la raggiungibilità, il change data capture di Aurora DSQL è passato in GA, e la fee di gestione GPU su EKS Auto Mode ed ECS Managed Instances è calata fino al 60%, con effetto retroattivo al 1 luglio.

La conversione di schema diventa un'API che il tuo agente chiama

DMS Schema Conversion ha un assistente di AI generativa per gli oggetti di codice dal re:Invent 2024. Quello che è cambiato il 10 luglio è la superficie di controllo. Un agente connesso all'AWS MCP Server ora può creare un progetto di conversione, esplorare i metadati della sorgente, eseguire la conversione, generare il report di assessment ed esportare il risultato, partendo da istruzioni in linguaggio naturale nell'IDE. Una skill dms-schema-conversion si carica on demand e porta con sé l'ordine delle chiamate API, i pattern di esclusione e la sequenza operativa, così l'agente non deve riscoprirli. Copre ogni coppia esistente di engine sorgente e destinazione e non aggiunge alcun costo oltre a DMS stesso.

Il compromesso è quello che ogni wrapper agentico porta con sé: rimuove la frizione che faceva, in silenzio, controllo qualità. Il report di assessment era la cosa che leggevi prima di impegnarti su una destinazione; quando un agente genera ed esporta in un solo passaggio, il report diventa un artefatto che nessuno apre. Tienilo come gate. Tratta il DDL convertito come una pull request di un junior veloce: confrontalo con la sorgente, eseguilo su una destinazione di prova e fai passare le stored procedure, le funzioni e i trigger con cui l'agente "ha dato una mano" da una persona che conosce l'applicazione. Le coppie di engine dove questo morde di più sono quelle con più dialetto dentro, Oracle o SQL Server verso PostgreSQL, che sono esattamente le coppie che la maggior parte delle persone sta convertendo.

Modalità expert di AWS Transform: meno domande, stesse approvazioni

Il flusso dei migration job in AWS Transform era costruito attorno a una chat che ti pone domande in ordine. La modalità expert, aggiunta lo stesso giorno, ti permette di fornire quelle risposte in anticipo, così l'agente completa i passaggi della migrazione con un'interazione minima. Per un team alla sua decima wave è il default giusto; le domande erano le stesse ogni volta e le risposte comunque vivevano in un foglio di calcolo.

Quello che non cambia è la forma del rischio. L'agente ha ancora bisogno che i server sorgente e le risorse di rete siano taggati CreatedBy: AWSTransform e ATWorkspace: <workspace_id> prima di operare su di essi, consente ancora un solo import di inventario per account di destinazione e Region alla volta, e instrada ancora i deployment attraverso la scheda Approvals, dove solo gli utenti con ruolo Admin possono confermare. Fermare un job in esecuzione e riavviarlo riparte da zero. Quindi la modalità expert non è un autopilota; è una conversazione più breve davanti agli stessi gate. Usala quando il tuo file di inventario è stabile, e mantieni il passaggio di validazione e conferma dell'inventario come il punto in cui un umano rilegge tipi di istanza e subnet un'ultima volta.

Security Hub inizia a bussare dall'esterno

Network Scanning, lanciato l'8 luglio, sonda le tue risorse dall'internet pubblico per confermare la raggiungibilità effettiva. Trova IP pubblici, macchine virtuali e load balancer su AWS e Azure, identifica le porte raggiungibili e i servizi dietro di esse, ed emette un finding per ogni porta raggiungibile, con le prove. Security Hub Exposures poi li correla con i finding di configurazione. È incluso in Security Hub Essentials senza costi aggiuntivi, attivo di default per i nuovi clienti, e i clienti esistenti lo attivano per account e Region oppure su tutta l'organizzazione con una configuration policy.

È una domanda diversa da quella a cui Security Hub già rispondeva. "Potrebbe essere raggiungibile, dati i security group e le route table" è un modello della tua rete; "è raggiungibile, mi ci sono appena connesso" è una misurazione. Le due cose sono in disaccordo più spesso di quanto i team si aspettino, in entrambe le direzioni: un security group permissivo dietro un NLB che inoltra solo la 443, oppure una porta raggiungibile che nessuno ha modellato perché è arrivata attraverso un peering che avevi dimenticato. La modalità di guasto è il volume. Se gestisci ALB pubblici intenzionali sulla 443 riceverai un finding per ciascuno, e la tentazione sarà di sopprimere l'intero controllo. Non farlo. Sopprimi per risorsa, mantieni il controllo, e lascia che Exposures faccia la correlazione che ti dice quali delle porte aperte stanno anche su un host con una CVE sfruttabile.

Il taglio della fee GPU, e cosa dice di Auto Mode

EKS Auto Mode ed ECS Managed Instances hanno entrambi tagliato le fee di gestione sulle istanze accelerate: 35% sulla serie G, 60% sulla serie P e su AWS Trainium, con effetto dal 1 luglio e applicato automaticamente. EKS Auto Mode ha anche guadagnato il pull parallelo delle immagini sulle istanze GPU con NVMe locale e il node repair consapevole degli acceleratori; ECS Managed Instances espone utilizzo, memoria e temperatura delle GPU in Container Insights e sostituisce le istanze in caso di guasto hardware della GPU.

La fee di gestione era la tassa onesta per lasciare che AWS gestisse il tuo data plane, e sulla serie P era abbastanza alta da far tenere ai team attenti ai costi i node group GPU in self-managed mentre mettevano tutto il resto in Auto Mode. Tagliarla del 60% restringe quel divario fino al punto in cui l'argomento operativo vince per la maggior parte dei team. Controlla la tabella delle tariffe per istanza sulla pagina dei prezzi: le percentuali sono per famiglia e la tua fattura è per ora di istanza.

Anche questa settimana

  • Il change data capture di Aurora DSQL è in GA, e trasmette insert, update e delete verso Kinesis Data Streams, con Firehose a valle verso S3, Redshift o OpenSearch; l'annuncio non dice nulla su ordinamento e semantica di consegna, quindi costruisci consumer idempotenti finché la documentazione non dice altrimenti.
  • OAuth per l'AWS MCP Server: gli agenti accedono tramite il browser con la stessa identità che usi per la console, ottengono token a breve durata, e un flusso headless usa create-oauth2-token-with-iam; arrivano insieme nuove condition key IAM e nuovi campi CloudTrail.
  • Claude apps gateway for AWS, un control plane self-hosted che mette login OIDC, impostazioni gestite e tetti di spesa per utente davanti a Claude Code e Claude Desktop, instradando l'inferenza verso Bedrock. Di più sul lato agenti su ercan.ai.
  • Loom for AWS, open source in AWS Labs: una UI di gestione e un'API per fare il deploy di agenti Strands su AgentCore Runtime con RBAC, ABAC e tagging obbligatorio.
  • Integrazione tra SageMaker Studio e Hugging Face: deploy o personalizzazione con un click, con quota di default G5, G6 e G4dn per i clienti verificati.
  • S3 Vectors ha raggiunto entrambe le Region AWS GovCloud (US).
  • Espansione Region di EC2: C8ine a Francoforte e I7ie a Hyderabad.
  • Sandbox Environments su AWS Builder Center: account gratuiti già provisionati per gli esercizi dei workshop, otto ore ciascuno, uno a settimana, mentre la piattaforma compie un anno.

Il filo conduttore

Tre dei lanci di questa settimana consegnano a una macchina un flusso che prima era interattivo: la conversione di schema a un agente nell'IDE, le wave di migrazione alla modalità expert, il login degli agenti a OAuth. Ognuno rimuove un passaggio in cui un umano si fermava a guardare. Gli annunci non rimuovono i checkpoint, il report di assessment, la conferma dell'inventario, la scheda Approvals, rendono solo possibile passarci oltre di corsa. Network Scanning è il contrappeso: una misurazione, non un modello, di quello che il resto dell'automazione della settimana ha lasciato esposto. Se adotti i primi tre, adotta il quarto.

Leggi questo dopo

Per la lettura AI e agenti delle stesse settimane, le field notes vivono su ercan.ai. Per consulenza su AWS, cloud, pipeline CI/CD, Linux, GitHub/GitLab e altro, parti da ercanermis.com.

Riferimenti