A semana de 10 de agosto foi sobre a AWS assumindo decisões que times de plataforma costumavam tomar à mão, e duas delas merecem uma segunda olhada antes de você aceitar o default. Os application status checks do EC2 permitem que o próprio EC2 sonde um endpoint HTTP na sua instância e alimente o resultado no Auto Scaling, e o IAM role manager entrou em GA, criando os papéis IAM de que um serviço precisa enquanto você clica pelo console dele. Também nesta semana: o ACM colocou datas no fim da validação por e-mail, e o MSK aprendeu a migrar um cluster de ZooKeeper para KRaft in-place. Nenhum lançamento do AWS Transform nesta semana; os itens de modernização foram o do MSK e uma correção mais discreta no Elastic Disaster Recovery.

Application status checks do EC2: saúde sem load balancer

Até agora o EC2 tinha dois status checks: system (o host) e instance (o SO convidado). O novo application status check adiciona uma terceira camada. Você define protocolo, porta e caminho mais os códigos de resposta que contam como saudáveis, associa o check a instâncias por ID ou por tag, e o EC2 envia uma requisição HTTP ou HTTPS a cada 60 segundos e reporta o resultado ao lado dos outros dois. Auto Scaling groups podem substituir instâncias que falham nele. Todas as Regiões comerciais e GovCloud (US).

A pergunta óbvia é por que você querería isso quando o target group do ALB já faz health check do mesmo caminho. A resposta é toda instância que não está atrás de um load balancer: workers consumindo do SQS, schedulers, um host Docker cujo daemon morreu enquanto a instância continuou respondendo ICMP. Essas máquinas hoje estão "saudáveis" por todo sinal que o EC2 tem, e o plantão descobre o contrário por um cliente. O modo de falha para o qual projetar é o oposto: um endpoint de saúde que depende de um downstream (um banco, um cache) vai derrubar a frota inteira quando o downstream oscilar, porque o ASG vai substituir instâncias que estavam bem. Mantenha o caminho sondado raso, e a associação por tag significa que um erro de digitação em uma tag pode deixar metade da frota sem verificação em silêncio, então audite com aws ec2 describe-instance-status depois do rollout.

IAM role manager: conveniente, e o default do Lambda é amplo

O role manager observa o que você configura em um console suportado (seis no lançamento, Lambda e EventBridge entre eles) e ou cria um papel padrão ou reutiliza um existente na conta que já se encaixa, pela nova API AcquireRole casada contra templates de papel gerenciados pela AWS. Os papéis são papéis IAM comuns que você controla totalmente, é uma única configuração no nível da conta no console do IAM, e vem habilitado por padrão em contas criadas com a nova experiência AWS. Não disponível em GovCloud (US) ou China.

O detalhe que deveria guiar a sua decisão está no post do blog de segurança: como as permissões de uma função Lambda não podem ser conhecidas antes de o código existir, o papel que ela recebe carrega PowerUserAccess, que exclui IAM, Organizations e configurações de conta mas inclui todo o resto. A resposta da AWS é rodar o IAM Access Analyzer depois e estreitar. Essa é uma história razoável para sandbox de desenvolvedor e ruim para produção, porque "depois" é a etapa que nunca é entregue. Se as suas contas já provisionam papéis via Terraform ou CDK, desligue, e use uma SCP para impedir que contas-membro religuem; o post confirma que SCPs podem controlar isso. Se você quer ligado para sandboxes, combine com o account access manager da mesma semana, que atribui papéis IAM em uma conta a usuários e grupos do Identity Center, para que ao menos os humanos segurando esses papéis amplos sejam federados.

A validação por e-mail do ACM termina em 2027, e as datas são escalonadas

Seguindo a decisão do CA/Browser Forum de novembro de 2025, o ACM vai parar de suportar certificados públicos validados por e-mail em três etapas: sem validação por e-mail em novas Regiões depois de 1 de janeiro de 2027, sem novas solicitações validadas por e-mail em lugar nenhum depois de 31 de março de 2027, e sem renovações de certificados existentes validados por e-mail depois de 30 de setembro de 2027. Certificados emitidos antes do prazo do setor continuam válidos até expirar, então nada quebra no dia; o que quebra é a renovação um ano depois, em um certificado que ninguém lembra de ter solicitado.

A migração é barata se você fizer agora. Filtre o console do ACM por método de validação Email e tipo Amazon Issued, ou faça via script, depois troque cada certificado no lugar com aws acm update-certificate-options, que mantém o ARN para que nenhum listener ou distribution precise de edição. Adicione o CNAME dentro da janela de 72 horas e o ACM renova pelo novo método. A validação HTTP também existe, mas só para CloudFront. Trate isso como um ticket do Q3, não de 2027.

MSK: de ZooKeeper para KRaft sem um cluster novo

O Kafka 3.9.x é a última linha que suporta ZooKeeper e o Kafka 4.x é apenas KRaft, então todo cluster MSK provisionado ainda em ZooKeeper tem uma migração pela frente. O MSK agora faz isso in-place: sem infraestrutura nova, sem cópia de dados, sem reconfiguração de clientes, e o cluster permanece disponível o tempo todo segundo a AWS. Você precisa estar na 3.9.x primeiro. Disponível em todo lugar onde o MSK provisionado roda, exceto a European Sovereign Cloud. Este é o tipo de modernização que nunca é priorizada porque não tem recurso atrelado, que é exatamente por que um caminho de um botão importa: transforma um projeto de um trimestre em uma janela de mudança.

Também nesta semana

O fio condutor

Application status checks e role manager são o mesmo movimento em duas direções. Um deixa o EC2 observar a sua aplicação para poder agir por você; o outro deixa o IAM agir por você antes de você ter observado qualquer coisa. O primeiro é uma boa troca porque o raio de impacto de um health check ruim é uma frota e ele é barulhento. O segundo é uma troca pior porque o raio de impacto de um papel amplo é a conta e ele é silencioso. O prazo do ACM e a migração do MSK são lembretes de que a metade sem glamour do trabalho de plataforma, renovações e pisos de versão, é onde os incidentes reais vivem. Coloque os três itens com data no calendário esta semana e discuta o role manager com calma.

Leia isto a seguir

Para a leitura de IA e agentes da mesma semana, as notas de campo vivem em ercan.ai. Consultoria em AWS, nuvem, pipelines de CI/CD, Linux, GitHub/GitLab e mais passa por ercanermis.com.

Referências