9월 21일의 주에 AWS는 핵심 프리미티브 둘을 계정이 아니라 조직을 중심으로 다시 그렸다. CloudWatch Omni는 콘솔 접근 없이 SSO로 닿는 팀 범위의 관측성 경험이고, 다시 출시된 EventBridge 커스텀 버스는 순서 보장, 보존, 그리고 모두가 이미 운영하는 허브 앤 스포크 패턴을 위해 만든 가격 모델을 가진 단일 RAM 공유 브로커다. 멀티 리전 강한 일관성을 가진 DynamoDB 글로벌 테이블이 15개 리전과 대륙 간 구성에 도달했고, Elastic Disaster Recovery는 Graviton 소스 서버를 추가했고, Security Hub는 Azure VM의 자체 호스팅 AI 인벤토리를 시작했다.

CloudWatch Omni: 계정이 아니라 팀으로 정리된 텔레메트리

9월 23일 Amazon CloudWatch Omni가 정식 출시(GA)됐다. 중앙 계정에 스페이스를 만들면 계정과 리전을 가로질러, 그리고 Azure 워크로드를 포함한 다른 클라우드까지 텔레메트리를 본다. Omni는 서비스를 자동 발견하고, 의존성을 매핑하고, 골든 메트릭을 드러내고, AWS DevOps Agent를 조사 세션에 끌어들여 신호를 상관시킨다. OpenTelemetry 위에 만들어졌으므로 기존 계측이 재구성 없이 나타난다. 조직 설계를 바꾸는 부분은 이것이다. 팀 전체를 위한 SSO가 있는 독립 웹 경험이고, AWS 콘솔 접근이 필요 없으며, IDE 확장과 Agent Toolkit 접근이 더해진다.

이것은 Datadog과 Grafana가 십 년 동안 팔아 온 것을 AWS가 만든 것이다. URL 하나, 로그인 하나, 모든 계정, 그리고 벤더의 AI가 첫 번째 훑기를 한다. 차이는 텔레메트리가 CloudWatch를 떠나지 않는다는 것이고, 규제받는 많은 조직에게 그것이 결정의 전부다.

트레이드오프는 ID 쪽이다. "콘솔 접근 없음"은 Omni 인가가 로그 그룹에 대한 IAM 정책이 아니라 스페이스로의 SSO 매핑이라는 뜻이다. 자기 서비스의 트레이스만 보고 다른 것은 보지 말아야 하는 개발자에게는 옳은 모델이지만, 이미 감사하는 접근 제어 시스템 옆에 두 번째 시스템이 생기는 것이다. 첫 팀이 스페이스를 셀프서비스로 만들기 전에, 어느 스페이스가 프로덕션 텔레메트리를 담는지, 누가 거기 매핑되는지, 그 매핑이 어떻게 검토되는지 정하라. 그리고 Azure 환경을 그쪽으로 향하게 하기 전에 계정 간 및 클라우드 간 수집 경로의 가격을 확인하라.

EventBridge, 엔터프라이즈를 위해 커스텀 버스를 다시 출시하다

9월 24일 EventBridge가 커스텀 이벤트 버스를 다시 출시했다. 향상된 버스는 AWS RAM을 통해 조직의 모든 계정에 공유할 수 있으므로, 퍼블리셔가 중앙 버스에 곧장 쓴다. 새 발행 API는 CloudEvents 같은 개방 포맷을 스키마를 다시 쓰지 않고 받는다. 버스는 기본으로 24시간의 이벤트를 보존하고 최대 1년까지 늘릴 수 있으므로, 버그 뒤에 재생하거나 이력으로 새 컨슈머를 채울 수 있다. 새 Subscriber 리소스는 필터링, 타깃, 재시도를 묶는다. 콘텐츠 기반 중복 제거, 요청한 곳에서의 엄격한 순서 보장, Lambda 같은 타깃에 대한 동기 호출이 있다. 기존 버스는 "classic"으로 바뀌지 않고 계속된다. News Blog 글은 인그레스/이그레스 가격 모델이 멀티 버스 패턴의 누적되는 계정 간 라우팅 요금을 대체한다고 덧붙인다.

이것이 대체하는 패턴은 계정당 버스 하나, 중앙 버스로 들어가고 다시 나오는 포워딩 규칙, 그리고 모든 홉에서의 요금이다. Subscriber를 가진 공유 버스 하나가 더 단순하고, 대부분의 토폴로지에서 더 싸다. 보존과 순서 보장 기능은 예전에 팀들이 EventBridge 앞에 Kinesis나 Kafka를 두게 강제한 것들이다. 그 접착제의 상당 부분이 이제 사라질 수 있다.

허브를 하룻밤에 옮기지 마라. 먼저 인그레스/이그레스 비용을 현재의 규칙당 요금과 비교해 모델링하라. "대부분에게 더 싸다"는 "모두에게 더 싸다"가 아니다. 그다음 프로듀서 하나와 Subscriber 하나를 옮기고, classic 버스 포워딩을 병행 유지하면서, 일주일 동안 전달 수를 비교하라. 순서 보장은 옵트인이고 처리량에 영향이 있을 것이다. 컨슈머가 실제로 필요로 하는 구독에서만 켜고, 전역으로 켜지 마라.

대륙을 넘는 DynamoDB 강한 일관성

9월 23일 멀티 리전 강한 일관성을 가진 DynamoDB 글로벌 테이블이 다섯 리전을 추가했다(Canada Central, Stockholm, Spain, Mumbai, Singapore). 총 15개이며, 이제 그중 어떤 세 리전 구성도 허용된다. North America, Europe, Asia Pacific에 걸치는 것도 포함된다. 복제본 셋, 또는 복제본 둘과 위트니스 리전 하나를 고르면 복구 시점 목표가 0이 된다.

대륙을 넘는 RPO 0은 실제 역량이고, 동시에 물리학이다. Frankfurt, Virginia, Singapore에 걸친 강한 일관성 쓰기는 응답하기 전에 매번 대륙 간 왕복을 지불한다. 대륙 간 옵션은 그만한 가치가 있는 데이터(권한, 주문 상태, 재고, 오래된 읽기가 정확성 버그가 되는 것들)를 위한 것이고, 그 옆의 세션 테이블을 위한 것이 아니다. MRSC 테이블은 작고 의도적으로 유지하라. 나머지는 모두 로컬 쓰기 지연을 가진 최종 일관성 글로벌 테이블에 남는다.

마이그레이션과 보안 코너

9월 25일 AWS Elastic Disaster Recovery가 Graviton 기반(arm64) 소스 서버를 추가했다. DRS가 arm64를 감지하고 Graviton 인스턴스로 복구하며, 추가로 구성할 것도, 추가 비용도 없다. "DR 계획이 있다"가 감사 요건인 곳에서 Graviton 도입을 막았던 틈을 닫는다. 이번 주의 유일한 마이그레이션 도구 소식이다. AWS Transform이나 DMS에서 나온 것은 없다.

9월 22일 Security Hub AI Inventory가 자체 호스팅 Azure VM의 AI 자산을 발견하기 시작했다. Inspector의 SBOM 분석으로 추론 엔드포인트, 모델, 에이전트(Ollama, vLLM, Hugging Face TGI 등)를 찾아 발견 사항과 상관시킨다. Security Hub Essentials에 포함된다. Azure 환경을 정리하면서 보안 태세를 AWS로 통합하고 있다면, 이것은 그렇지 않으면 손으로 하는 인벤토리 단계다.

그리고 9월 25일 IAM 아웃바운드 ID 페더레이션이 OIDC 디스커버리와 JWKS 엔드포인트용 인터페이스 VPC 엔드포인트를 얻었다. 인터넷 경로가 없는 VPC의 검증 워크로드가 이제 STS가 발급한 JWT를 검증하기 위한 키를 프라이빗하게 가져올 수 있다. 장수 키를 없애려고 아웃바운드 페더레이션을 도입했다면, 일부 프라이빗 서브넷이 그럴 수 없었던 마지막 이유가 사라진다.

이번 주의 다른 소식

관통하는 맥락

Omni, EventBridge 재출시, Network Security Manager, 청구 컨텍스트 API는 모두 운영 단위가 콘솔 하나를 가진 단일 계정이 아니라 중앙 계정을 가진 AWS Organization이라고 가정한다. 그 따라잡기의 비용은 각각이 자체 접근 모델을 가진 조직 수준 컨트롤 플레인(스페이스, 공유 버스, 보안 정책)을 도입한다는 것이고, 플랫폼 팀의 일은 그 접근 모델들을 일관되게 유지하는 것이 된다. DRS와 OIDC 엔드포인트 변경은 같은 이야기의 더 조용한 버전이다. 역량이 마침내 실제 환경이 처한 구성, arm64 플릿과 인터넷 없는 VPC에 닿아서, 예외 목록이 짧아진다.

다음으로 읽을 글

같은 주의 AI와 에이전트 쪽 읽기는 ercan.ai를 보라. 팀에 AWS, 클라우드 아키텍처, CI/CD 파이프라인, Linux, GitHub 또는 GitLab, 그리고 그 주변의 플랫폼 작업에 대한 실무 도움이 필요하다면, 컨설팅은 ercanermis.com에 있다.

참고 자료