8월 17일 주에서 가장 결과가 큰 출시는 대부분의 팀이 알림이 도착할 때까지 알아차리지 못할 것이다. Amazon EKS가 이제 인증 기관 로테이션을 관리한다. 이것이 존재하는 이유는 2018년에 10년짜리 CA로 만들어진 첫 EKS 클러스터들이 그 끝에 가까워지고 있기 때문이다. 그 옆에서 Direct Connect는 인바운드 프리픽스 상한을 100에서 1,000으로 올렸고, 유럽(런던)에 네 번째 가용 영역이 생겼으며, IAM Policy Autopilot은 Terraform plan 파일을 읽는 법을 배웠다. 이번 주에는 AWS Transform이나 DMS 출시가 없었으므로 마이그레이션 관점은 네트워킹 쪽이다. 프리픽스 한도는 대규모 하이브리드 컷오버의 실제 걸림돌이었다.

EKS CA 로테이션: 아무도 티켓에 넣지 않은 기한

모든 EKS 클러스터에는 API 서버 인증서에 서명하는 CA가 있고, 출시 이후 만들어진 모든 클러스터는 10년 유효한 CA를 갖고 있다. 첫 클러스터들은 2018년 중반에 만들어졌다. 그 CA가 만료되면 그것을 신뢰하는 어떤 것도 컨트롤 플레인과 말할 수 없다. kubelet, kubectl, CI 러너, 잊고 있던 오퍼레이터들. 새 관리형 로테이션은 안전장치가 붙은 수명 주기를 준다. EKS가 후속 CA를 추가하고, AWS 관리형 구성 요소가 그것을 신뢰하도록 갱신하고, EKS Auto Mode 인스턴스와 Fargate 노드를 자동으로 처리하고, 만료 사전 알림을 보내고, 당신이 끝내 하지 않으면 자체 일정에 따라 후속 CA를 활성화하며, 이전 CA로의 롤백을 유지한다. 추가 비용 없음, 모든 상용 리전, CLI, EKS API, CloudFormation, 콘솔에서 구동할 수 있다.

목록을 AWS가 하지 않는 것을 중심으로 읽어라. 후속 CA를 신뢰하도록 자체 워커 노드를 교체하는 것은 여전히 당신의 일이고, 모든 외부 클라이언트를 갱신하는 것도 여전히 당신의 일이다. CI 시스템에 박힌 모든 kubeconfig, 모든 배스천, certificate-authority-data를 고정해 둔 모든 서드파티 도구가 거기 들어간다. 자동 활성화는 존중해야 할 부분이다. 만료에 대한 안전망이지만, 클라이언트를 로테이션하기 전에 발동하면 그 클라이언트들은 AWS가 고른 시점에 깨진다. 옳은 수순은 지금 각 클러스터와 통신하는 주체를 인벤토리하고, 자체 관리 노드 그룹을 평소의 리프레시로 롤링하고, 변경 창 안에서 후속 CA를 직접 활성화하는 것이다. 계정에서 가장 오래된 클러스터부터 시작하라. aws eks describe-cluster와 클러스터의 createdAt이 어느 것인지 알려준다.

Direct Connect: 프리픽스 1,000개와 용량 풀

프라이빗 또는 트랜짓 VIF는 온프레미스에서 광고되는 라우트 프리픽스를 최대 100개까지만 받았다. 10년치 서브넷이 난립한 데이터센터에게 그것은 공격적으로 요약하거나 여러 VIF로 나누라는 뜻이었고, 마이그레이션 중에는 마이그레이션보다 오래 사는 "임시" 요약 라우트를 뜻했다. 인바운드 프리픽스 제어는 전용 연결과 호스티드 연결의 VIF당 IPv4 1,000개와 IPv6 1,000개까지 할당하게 해 주며, 전용 연결과 Direct Connect 게이트웨이 수준의 새 용량 풀에서 끌어온다. 연결 풀은 링크 속도에 따라, LAG 풀은 멤버 수에 따라 커진다. 추가 비용 없음, 상용 리전, GovCloud (US), 중국 두 리전.

손대기 전에 이해해야 할 부분은 풀 모델이다. 용량은 공유 예산이므로, 한 팀이 VIF 하나에 프리픽스 900개를 할당하면 그 연결의 다른 모두를 위한 풀을 써 버린 것이다. 할당을 콘솔 클릭이 아니라 IaC로 다루고, 첫 팀이 요청하기 전에 분배를 결정하라.

리전: eu-west-2d와 라스베이거스 Local Zone

유럽(런던)에 eu-west-2d가 추가됐다. 8월 19일, Trn3와 P6 가속 용량과 범용 컴퓨트를 갖추고. 새 AZ는 무시하기 쉽고 무시하면 비싸다. VPC가 티어당 서브넷 셋과 하드코딩된 AZ 이름으로 지어졌다면, 누군가 서브넷을 추가하기 전까지 네 번째 존은 Auto Scaling 그룹과 EKS 노드 그룹에 보이지 않는다. 다음 날에는 라스베이거스 Local Zone(us-west-2-las-2a)이 C7i, M7i, R7i, C8gn 인스턴스, gp3/gp2/io1/sc1/st1 EBS 타입, ECS, EKS, ALB, Direct Connect와 함께 GA됐다.

IAM: Terraform용 Policy Autopilot, 그리고 더는 부딪히지 않을 쿼터

re:Invent 2025에서 나온, 애플리케이션 코드에서 범위를 좁힌 정책을 도출하는 오픈소스 도구 IAM Policy Autopilot이 이제 Terraform plan 파일을 받아, 그 plan에 있는 리소스의 생성, 읽기, 갱신, 삭제로 한정된 베이스라인 정책을 만들고, 가능한 곳에는 구체적인 ARN을 넣는다. 로컬에서 돌고 awslabs/iam-policy-autopilot에 산다. 닫히는 간극은 실재한다. Terraform 파이프라인의 배포 역할은 대개 계정에서 가장 넓은 역할인데, 바로 무엇이 필요한지 아무도 열거할 수 없었기 때문이다. plan에서 도출한 베이스라인은 방어할 수 있는 출발점이다. 다만 한 plan에서 나온 베이스라인은 다음 plan에 없는 리소스의 destroy를 덮지 못한다는 주의가 붙는다. 별도로, 역할당 관리형 정책 기본 한도가 10에서 20으로 두 배가 되고 요청 시 25까지 가능해져서, "정책이 너무 커서 하나 더 붙임" 류의 우회책 한 부류가 은퇴한다.

이번 주의 다른 소식

관통하는 맥락

이번 주 출시 중 셋은 플랫폼이 작았을 때 정해진 한계에 관한 것이다. 2018년에는 영원처럼 보였던 10년짜리 CA, 하이브리드가 데이터센터 하나를 뜻하던 시절의 100개 프리픽스 VIF, 누구도 관리형 정책을 수십 개씩 붙이기 전의 10개 정책 역할. AWS는 각각을 올리거나 자동화하고 있고, 반가운 일이지만 부담은 사라지지 않고 옮겨간다. CA 로테이션은 클라이언트를 당신에게 남기고, 프리픽스 풀은 할당 정책을 남기고, Autopilot 베이스라인은 destroy 경로를 남긴다. 플랫폼 계층의 자동화는 하드 리밋을 설계 결정으로 바꾸고, 설계 결정에는 소유자가 필요하다.

다음으로 읽을 글

같은 주의 AI와 에이전트 쪽 읽기는 ercan.ai의 필드 노트에 있다. AWS, 클라우드, CI/CD 파이프라인, Linux, GitHub/GitLab 등에 대한 컨설팅은 ercanermis.com을 통해 진행한다.

참고 자료