A semana de 29 de junho a 5 de julho de 2026 foi sobre as duas metades de um deploy: colocar para fora e trazer de volta. O Express mode do CloudFormation devolve o controle até 4x mais cedo ao declarar um deploy concluído quando a configuração é aplicada, e não quando cada recurso estabilizou, com rollback desligado por padrão. O Amazon EKS permite reverter um upgrade de versão do Kubernetes em até sete dias. O ECS tornou seu circuit breaker configurável. E o ACM agora fala ACME, colocando certificados públicos em hosts que o load balancer nunca alcança.

Por baixo dos lançamentos, um Service Availability Update de 30 de junho colocou uma dúzia de serviços e recursos em manutenção a partir de 30 de julho. Essa lista merece uma entrada no calendário mais do que qualquer lançamento desta semana.

Express mode do CloudFormation: "concluído" agora significa outra coisa

O Express mode do CloudFormation e do CDK foi lançado em 30 de junho em todas as Regiões comerciais, sem custo adicional. Um deploy termina assim que o CloudFormation confirma que a configuração dos recursos foi aplicada, pulando as verificações estendidas de estabilização; os recursos continuam ficando operacionais em segundo plano. Habilite por operação com --deployment-config '{"mode": "EXPRESS", "disableRollback": true}' em create, update ou delete, ou cdk deploy --express. Nested stacks herdam o modo do pai. O exemplo do post: excluir uma função Lambda com interface de rede em VPC cai de 20 a 30 minutos para menos de 10 segundos.

Leia o nome da flag de novo: rollback vem desabilitado por padrão no Express mode; defina disableRollback como false para produção. A mudança maior é semântica. Todo pipeline de CI que roda um smoke test no instante em que o deploy retorna vinha dependendo da estabilização como um gate implícito de prontidão. No Express mode esse gate não existe mais, então o smoke test pode disputar com o recurso que está testando. A AWS diz isso diretamente: use o modo padrão quando os recursos precisam estar operacionais antes de receber tráfego. O Express mode pertence primeiro a loops de dev e ambientes efêmeros de review.

O lançamento companheiro, validação pré-deploy em todas as operações de stack (30 de junho), vem ligado por padrão: erros de sintaxe de propriedades, conflitos de nome e restrições de bucket S3 não vazio são capturados em CreateStack e UpdateStack antes de qualquer recurso ser tocado, onde antes só a criação de change set os executava, e change sets agora avisam sobre limites de quota, conflitos de recorder do Config e repositórios ECR que ainda guardam imagens. cdk deploy e cdk validate exibem os resultados com rastreamento no nível do construct. Se você segue uma regra IaC-first, esses dois juntos são a maior mudança no seu inner loop desde os change sets.

Rollback de versão no EKS: sete dias para mudar de ideia

O Amazon EKS agora suporta rollback de versão do Kubernetes (1 de julho): em até sete dias depois de um upgrade você pode devolver um cluster à versão minor anterior, um passo por vez, sem custo adicional, em toda Região comercial, em standard ou extended support. Os cluster insights verificam primeiro a compatibilidade dos nós e as dependências de add-ons; --force os ignora. O rollback do control plane funciona em todos os clusters. O rollback dos nós só está disponível no EKS Auto Mode, onde control plane e nós voltam juntos respeitando Pod disruption budgets, com uma API de cancelamento. O rollback de control plane do autor levou cerca de 20 minutos com o cluster funcional o tempo todo.

Para managed e self-managed node groups o control plane pode voltar e os seus nós não, então a janela de sete dias é na prática uma cadência de "control plane primeiro, nós depois de alguns dias de confiança". A pergunta que o post não responde, e que você deveria testar em staging, é o que acontece com objetos criados contra APIs que só existem na versão mais nova durante essa janela.

No mesmo espírito, as configurações do deployment circuit breaker do ECS agora são ajustáveis (1 de julho): um limiar como contagem fixa de tasks ou percentual do desired count, e a escolha entre falhas consecutivas (o contador zera com uma task saudável) e cumulativas. Suportado em CloudFormation, CDK e Terraform, para serviços novos e existentes.

ACME no ACM: certificados públicos onde o ALB não chega

O AWS Certificate Manager agora suporta ACME (30 de junho, todas as Regiões comerciais; GovCloud, China e European Sovereign Cloud virão depois). Você cria um endpoint ACME, aponta o Certbot, o acme.sh ou o cert-manager para https://acm-acme-enroll.us-east-1.api.aws/<ENDPOINT_ID>/directory e registra o cliente com credenciais de External Account Binding geradas no console. Os domínios são validados uma única vez, no nível do endpoint, por CNAME de DNS (criado automaticamente para zonas do Route 53), então os donos das aplicações nunca precisam de acesso ao DNS, e cada endpoint permite ou nega escopos de domínio exato, subdomínio e wildcard. Os certificados vêm da Amazon Trust Services; o preço é por domínio por emissão.

O ACM sempre foi gratuito e sem esforço para qualquer coisa terminada em ALB, CloudFront ou API Gateway, e inútil para todo o resto: um host EC2 servindo TLS, um container fazendo mTLS, uma máquina on-premises. Isso era território do Let's Encrypt, com os cron jobs e plugins de DNS que vêm junto. O trade-off é dinheiro: o Let's Encrypt é gratuito, o ACME do ACM cobra por domínio na emissão, e as reduções de validade do CA/Browser Forum (100 dias a partir de março de 2027, 47 dias até 2029) multiplicam as emissões. Combine com o Workload Credentials Provider de três semanas atrás e a história de certificados no host fica completa.

A lista de manutenção

Os Service Availability Updates de 30 de junho movem estes para manutenção, sem acesso para novos clientes a partir de 30 de julho de 2026: Amazon Bedrock Agents (a versão de novembro de 2023, agora "Agents Classic"), Cognito Sync, Kendra, Q Business, Directory Service Simple AD, Mainframe Modernization Self-Managed Experience, Console myApplications, Resource Groups Group Lifecycle Events, Service Catalog Application Registry, Systems Manager Application Manager e nove recursos do SageMaker AI, incluindo Clarify, Debugger, Ground Truth e Model Monitor. O IoT Device Defender Detect segue em 31 de agosto. Entrando em sunset: WorkSpaces PCoIP, WorkSpaces Pools, AMS Advanced, re:Post Private e SageMaker Profiler. O plano do AMS Advanced é explícito: nenhuma landing zone nova depois de 30 de junho de 2026, desligamento completo em 30 de junho de 2027, com o AMS Accelerate como destino sugerido.

Duas notas de migração. O Simple AD indo para manutenção significa que o diretório barato que muitos parques pequenos usavam para WorkSpaces e autenticação do RDS SQL Server precisa de um plano. E a Mainframe Modernization Self-Managed Experience fechando enquanto o AWS Transform for mainframe adiciona um caminho de reimagine diz qual estratégia de mainframe a AWS pretende financiar.

Também nesta semana

O fio condutor

A AWS passou esta semana tornando real o botão de desfazer: uma versão de Kubernetes da qual você pode voltar, um circuit breaker que você pode ajustar, um modo de deploy que retorna cedo e diz isso. A lista de manutenção é a mesma ideia aplicada ao portfólio da própria AWS. Ambos transferem uma decisão para você: o Express mode pergunta se o seu pipeline sabe o que "pronto" significa, e a lista de manutenção pergunta se o seu parque ainda roda em algo em que a AWS parou de investir. Responda às duas antes de 30 de julho.

Leia isto a seguir

Os anúncios de agentes e modelos da semana, Sonnet 5 e WorkSpaces for agents entre eles, são cobertos em ercan.ai. Para consultoria em AWS, nuvem, pipelines de CI/CD, Linux, GitHub/GitLab e mais, o hub é ercanermis.com.

Referências