2026年6月29日から7月5日の週は、デプロイの2つの半身、出すことと引き戻すことの週だった。 CloudFormation Expressモードは、すべてのリソースが安定するまでではなく設定が適用された時点でデプロイ完了を宣言し、最大4倍早く制御を返す。ロールバックはデフォルトでオフだ。Amazon EKSはKubernetesバージョンのアップグレードを7日以内に取り消せるようにした。ECSはサーキットブレーカーを設定可能にした。そしてACMはACMEを話すようになり、ロードバランサーが決して届かないホストにパブリック証明書を置ける。

ローンチの下では、6月30日のService Availability Updateが十数のサービスと機能を7月30日からメンテナンスに入れた。あのリストは今週のどのローンチよりもカレンダーへの記入に値する。

CloudFormation Expressモード: 「完了」の意味が変わる

CloudFormationとCDKのExpressモードは6月30日にすべての商用リージョンで追加費用なしにローンチした。CloudFormationがリソース設定の適用を確認した時点でデプロイは終了し、長い安定化チェックは省かれる。リソースはバックグラウンドで稼働状態になっていく。作成、更新、削除時に--deployment-config '{"mode": "EXPRESS", "disableRollback": true}'で、あるいはcdk deploy --expressで、操作ごとに有効化する。ネストされたスタックは親のモードを継承する。記事の例では、VPCネットワークインターフェースを持つLambda関数の削除が20〜30分から10秒未満に縮む。

フラグ名をもう一度読んでほしい。Expressモードではロールバックがデフォルトで無効であり、本番ではdisableRollbackをfalseに設定すること。より大きな変化は意味論的なものだ。deployが返った瞬間にスモークテストを走らせるすべてのCIパイプラインは、暗黙の準備完了ゲートとして安定化に頼ってきた。Expressモードではそのゲートが消え、スモークテストがテスト対象のリソースと競合しうる。AWSは直接こう言っている。トラフィックを受ける前にリソースが稼働していなければならないならデフォルトモードを使え。Expressモードの居場所は、まず開発ループと使い捨てのレビュー環境だ。

対になるローンチ、すべてのスタック操作でのデプロイ前検証(6月30日)はデフォルトで有効だ。プロパティの構文エラー、名前の衝突、空でないS3バケットの制約は、以前は変更セットの作成時にしか検出されなかったが、いまはCreateStackとUpdateStackでリソースに触れる前に捕まえる。変更セットはクォータ上限、Configレコーダーの衝突、まだイメージを持つECRリポジトリについて警告するようになった。cdk deployとcdk validateはコンストラクトレベルのトレース付きで結果を表示する。IaCファーストのルールに従っているなら、この2つを合わせたものは変更セット以来の、インナーループへの最大の変化だ。

EKSバージョンのロールバック: 考え直すための7日間

Amazon EKSがKubernetesバージョンのロールバックをサポートした(7月1日)。アップグレードから7日以内なら、クラスターを1ステップずつ前のマイナーバージョンへ戻せる。追加費用なし、すべての商用リージョン、標準サポートでも延長サポートでも。クラスターインサイトがまずノードの互換性とアドオンの依存関係を確認し、--forceはそれを飛ばす。コントロールプレーンのロールバックはすべてのクラスターで動く。ノードのロールバックはEKS Auto Modeでのみ使え、そこではコントロールプレーンとノードがPod disruption budgetを尊重しながら一緒に戻り、キャンセルAPIもある。筆者のコントロールプレーンのロールバックは約20分で、その間クラスターは機能し続けた。

マネージドおよびセルフマネージドのノードグループでは、コントロールプレーンは戻れてもノードは戻れないので、7日間の窓は実際には「まずコントロールプレーン、数日の確信を得てからノード」というリズムになる。記事が答えておらず、ステージングで試すべき問いは、その窓の間に新しいバージョンにしか存在しないAPIに対して作成されたオブジェクトがどうなるかだ。

同じ精神で、ECSデプロイサーキットブレーカーの設定が構成可能になった(7月1日)。閾値を固定タスク数または希望数に対する割合で指定し、連続失敗(正常なタスクでカウンターがリセット)と累積のどちらかを選べる。CloudFormation、CDK、Terraformに対応し、新規および既存サービスで使える。

ACMのACME: ALBが届かない場所のパブリック証明書

AWS Certificate ManagerがACMEをサポートした(6月30日、すべての商用リージョン。GovCloud、中国、European Sovereign Cloudは後続)。ACMEエンドポイントを作成し、Certbot、acme.sh、cert-managerをhttps://acm-acme-enroll.us-east-1.api.aws/<ENDPOINT_ID>/directoryに向け、コンソールから得たExternal Account Bindingの認証情報でクライアントを登録する。ドメインはエンドポイント単位で一度だけDNS CNAME(Route 53ゾーンなら自動作成)で検証されるので、アプリケーションオーナーはDNSアクセスを一切必要としない。各エンドポイントは完全一致ドメイン、サブドメイン、ワイルドカードのスコープを許可または拒否する。証明書はAmazon Trust Servicesから発行され、料金はドメインごと、発行ごとだ。

ACMはALB、CloudFront、API Gatewayで終端するものには無料で手間いらずだったが、それ以外には役立たずだった。TLSを提供するEC2ホスト、mTLSを行うコンテナ、オンプレミスの箱。それらはLet's Encryptの領分で、セットで付いてくるcronジョブとDNSプラグインを伴っていた。トレードオフは金だ。Let's Encryptは無料、ACM ACMEは発行時にドメインごとに課金し、CA/Browser Forumの有効期間短縮(2027年3月から100日、2029年までに47日)が発行回数を掛け算する。3週間前のWorkload Credentials Providerと組み合わせれば、ホスト上の証明書の話は完結する。

メンテナンスリスト

6月30日のService Availability Updatesは、2026年7月30日以降の新規顧客アクセスなしで、次をメンテナンスへ移す。Amazon Bedrock Agents(2023年11月版、いまは「Agents Classic」)、Cognito Sync、Kendra、Q Business、Directory Service Simple AD、Mainframe Modernization Self-Managed Experience、Console myApplications、Resource Groups Group Lifecycle Events、Service Catalog Application Registry、Systems Manager Application Manager、そしてClarify、Debugger、Ground Truth、Model Monitorを含むSageMaker AIの9機能。IoT Device Defender Detectは8月31日に続く。サンセット入りはWorkSpaces PCoIP、WorkSpaces Pools、AMS Advanced、re:Post Private、SageMaker Profiler。AMS Advancedの計画は明確だ。2026年6月30日以降は新規ランディングゾーンなし、2027年6月30日に完全停止、移行先として提案されるのはAMS Accelerate。

移行に関する注記を2つ。Simple ADのメンテナンス入りは、多くの小規模環境がWorkSpacesやRDS SQL Serverの認証に使ってきた安価なディレクトリに計画が必要だということだ。そしてMainframe Modernization Self-Managed Experienceが閉じる一方でAWS Transform for mainframeがリイマジン経路を追加していることは、AWSがどのメインフレーム戦略に資金を投じるつもりかを教えている。

今週のその他

通底するテーマ

AWSは今週、取り消しボタンを本物にすることに費やした。巻き戻せるKubernetesバージョン、調整できるサーキットブレーカー、早く返ってきてそう告げるデプロイモード。メンテナンスリストは同じ考えをAWS自身のポートフォリオに適用したものだ。どちらも判断をあなたに移す。Expressモードはあなたのパイプラインが「準備完了」の意味を知っているかを問い、メンテナンスリストはあなたの環境がAWSが投資をやめたものの上でまだ動いていないかを問う。7月30日より前に両方に答えること。

次に読む

Sonnet 5やWorkSpaces for agentsを含む今週のエージェントとモデルの発表は、ercan.aiで扱っている。AWS、クラウド、CI/CDパイプライン、Linux、GitHub/GitLabなどのコンサルティングは、ercanermis.comからどうぞ。

参考資料