2026년 10월 5일의 주에는 플랫폼 팀이 주목할 가치가 있는 두 가닥이 있었다. AWS Transform이 호스트에 아무것도 설치하지 않고 Microsoft Hyper-V 환경을 인벤토리하는 법을 배웠고, 일련의 작은 출시들이 ID와 인증서 통제를 예전에는 자신이 올라탄 네트워크를 신뢰하던 계층들로 밀어 내렸다. Lambda의 Kafka 이벤트 소스 매핑이 OAuth를 받고, IAM Identity Center 디렉터리는 당신의 VPC 엔드포인트를 우회하는 요청을 거부할 수 있고, 공개 ACME 발급이 PrivateLink 위에서 돌고, GuardDuty는 로그인만이 아니라 PostgreSQL 쿼리를 읽는다. 어느 것도 헤드라인은 아니다. 합치면 그것이 이번 주다.

마이그레이션 데스크: Hyper-V가 에이전트 없는 디스커버리를 얻다

10월 7일 AWS는 Discover and migrate Microsoft Hyper-V workloads with AWS Transform을 발표 성격의 글로 올렸다. Transform 디스커버리 도구는 이제 각 Hyper-V 호스트를 소스로 등록하고, WinRM으로 연결하고, 모든 VM의 vCPU, 메모리, 디스크, 네트워크 어댑터, 전원 상태, 페일오버 클러스터 소속을 읽는다. 수집은 매시간 반복되고, 클러스터된 VM은 중복 제거되며, System Center Virtual Machine Manager는 필요하지 않다. 도구는 vCenter와 CSV로 가져온 베어 메탈에서도 수집하는 VHD 어플라이언스로 배포되므로, 혼합 환경이 하나의 인벤토리를 얻는다. 게스트 자격 증명이 있으면 10분 단위 성능 샘플, 의존성 매핑을 위한 네트워크 연결, SQL Server와 Oracle 세부 정보를 추가하고, 그것이 익숙한 체인으로 흘러간다. 측정된 사용률에서 나온 EC2 크기 산정이 담긴 TCO 케이스, 웨이브 계획, 랜딩 존.

이동 자체는 여전히 게스트 OS 계층의 AWS Transform MGN이고, 그것은 모든 소스 서버에 복제 에이전트가 있다는 뜻이다. 디스커버리는 에이전트 없이 되지만 마이그레이션은 그렇지 않고, 에이전트 롤아웃을 위한 변경 승인이 달력을 잡아먹는 부분이다.

같은 주에 동반 글 두 편이 올라왔다. When to use what: A guide to AWS Transform interfaces(10월 9일)는 콘솔, Kiro와 다른 AI IDE, 파이프라인용 비대화형 -x -t 플래그가 있는 atx CLI, 그리고 MCP 서버에 대한 첫 번째 명확한 지도다. 진입점을 고르기 전에 읽어라. CLI는 커스텀 변환만 다룬다. 그리고 Run least-privilege AWS DMS CDC migration from SQL Server(10월 6일)는 모든 DMS 프로젝트가 처음부터 갖고 시작해야 했던 권한 정리 글이다.

OAuth가 Lambda의 Kafka 컨슈머에 닿다

10월 9일 AWS Lambda가 자체 관리 Apache Kafka 이벤트 소스 매핑에 OAuth 인증을 추가했다. 지금까지 Kafka ESM은 SASL/PLAIN, SASL/SCRAM, mTLS로 인증할 수 있었고 그 외에는 없었다. 클러스터가 OAuth 전용 IdP(Okta, Cognito)에 묶인 팀은 ESM을 전혀 쓸 수 없었으므로 자체 컨슈머 플릿을 운영했고, ESM이 공짜로 주는 스케일링, 배칭, 필터링, 에러 처리를 잃었다. 자체 호스팅 클러스터와 Confluent Cloud, Aiven, Redpanda에서 동작한다.

트레이드오프: 컨슈머 ID가 이제 수명이 있는 토큰이므로, IdP 장애는 누군가 지켜보는 로그인 에러가 아니라 멈춘 이벤트 소스 매핑으로 나타난다. 인증 방식을 바꾼 뒤가 아니라 바꾸기 전에 ESM의 OffsetLag 메트릭에 알람을 걸어라.

ID와 인증서 플레인이 프라이빗으로 간다

10월 5일과 6일의 출시 셋은 하나의 모양을 공유한다. IAM Identity Center가 이제 Identity Store에 네트워크 접근 제어를 지원한다. Identity Store API 호출이 계정이나 조직의 허용된 VPC 엔드포인트를 통해서만 도착하도록 요구할 수 있고, 외부 IdP가 사용자와 그룹을 동기화하는 데 쓰는 SCIM API를 제한할 수 있다. 당신의 인력이 누구인지 정의하는 디렉터리가 당신이 지정한 곳에서만 닿을 수 있게 된다.

ACM이 이제 AWS PrivateLink를 통한 ACME 발급을 지원한다. ACM ACME 서비스로 가는 VPC 인터페이스 엔드포인트를 만들면 프라이빗 DNS가 기존 ACME 디렉터리 URL을 그쪽으로 해석하므로, 어떤 ACMEv2 클라이언트든 인터넷 경로 없이, 클라이언트 변경 없이 공개 인증서를 갱신한다. 인증서 갱신만을 위해 NAT 경로를 유지하는 프라이빗 서브넷 호스트에게는 이그레스 예외 하나가 통째로 사라지는 것이다.

AWS Private CA가 이제 상세한 인증서 발급 로그를 내보낸다. CloudTrail 서비스 이벤트 IssueCertificateDetails로, 모든 발급에 대해 전체 인증서 내용, 발급 CA, 요청자 ID, 서명 상태를 담으며, 서명 전에 실패한 것도 포함한다. 옛 관리 이벤트는 ARN을 줬다. 알고리즘 마이그레이션을 추적하고 있거나 스프레드시트가 아닌 인증서 인벤토리가 필요하다면, 이것이 빠져 있던 진실의 원천이다.

이것들을 하나의 변경 세트로 다뤄라. Identity Store와 SCIM을 VPC 엔드포인트 뒤에, ACME를 PrivateLink 위에, 발급 로그를 감사 계정으로. 계획해 둬야 할 실패 모드는 브레이크글래스 경로다. 엔드포인트 정책이 틀리면 SCIM 동기화가 조용히 멈추고, 에러는 이틀 뒤 무관한 애플리케이션에서 "user not found"로 나타난다.

GuardDuty가 로그인만이 아니라 쿼리를 읽는다

10월 8일 GuardDuty RDS Protection이 데이터 유출과 파괴를 감지하도록 확장됐다. Aurora PostgreSQL과 RDS for PostgreSQL에서다. 예전에는 로그인 이상 징후를 봤다. 이제 데이터 활동의 기준선을 잡고, 이상 감지와 위협 인텔리전스로 비정상 접근을 표시하며, 에이전트도 데이터베이스 변경도 없다. 닫히는 틈은 모든 사후 보고서가 언급하는 그것이다. 공격자가 유효한 자격 증명을 쥐면, 그들의 쿼리는 애플리케이션의 것과 정확히 같아 보인다. 로그인 모니터링은 아무것도 보지 못한다. 쿼리 형태 모니터링은 적어도 기회가 있다.

이번 주의 다른 소식

관통하는 맥락

수년 동안 패턴은 이랬다. 엣지에서 사용자를 인증하고, 그 뒤의 네트워크를 신뢰한다. 이번 주 AWS는 점검을 계속 안쪽으로 옮겼다. 디렉터리 API는 당신이 어느 VPC 엔드포인트를 통해 왔는지 알고 싶어 한다. 인증서 갱신은 VPC를 떠나지 않는다. Kafka 컨슈머는 IdP 토큰을 지닌다. 데이터베이스 위협 모델은 자격 증명이 이미 도난당했다고 가정하고 쿼리가 무엇을 하는지 본다. 마이그레이션 쪽에서는 Transform이 에이전트를 심는 대신 WinRM으로 Hyper-V 호스트를 읽는다. 떠나려는 환경에 적용된 같은 본능이다. "네트워크 안에 있다"가 답으로 통하는 곳의 수가 다시 줄었다.

다음으로 읽을 글

같은 주의 모델과 에이전트 쪽 읽기는 ercan.ai의 AI 필드 노트에 있다. AWS, 클라우드, CI/CD 파이프라인, Linux, GitHub/GitLab 등에 대한 컨설팅을 포함한 허브는 ercanermis.com이다.

참고 자료