A semana de 14 de setembro foi a AWS vendendo engenharia de plataforma como produto: o Cluster Mode do Elastic Beanstalk coloca um portfólio de aplicações em EKS compartilhado e totalmente gerenciado, e a nova experiência de primeiros passos entrega a um builder novo um projeto pré-configurado em vez de uma conta vazia. Por baixo, a computação ficou mais barata em duas direções (instâncias T8i, ARM64 no ECS Express Mode), o PrivateLink ganhou um tunnel endpoint para compartilhar segmentos de rede inteiros, e duas mudanças de identidade chegaram que vão quebrar monitoramento em silêncio se você as ignorar. O ferramental de migração ficou quieto nesta semana (nada do AWS Transform ou do DMS), então a história de plataforma lidera.

Cluster Mode do Elastic Beanstalk: o argumento do PaaS, de novo

Em 17 de setembro o AWS Elastic Beanstalk introduziu o Cluster Mode: múltiplas aplicações rodam em infraestrutura compartilhada movida pelo Amazon EKS, totalmente gerenciada, com um único baseline operacional. Você sobe o código-fonte em Java, .NET, Python, Node.js, PHP, Ruby ou Go (ou um Dockerfile, ou uma imagem), o Beanstalk o containeriza com Cloud Native Buildpacks quando necessário, e o ambiente recebe deploys com desvio de tráfego e rollback automático, autoscaling orientado a eventos, integração com Secrets Manager, observabilidade OpenTelemetry e troubleshooting assistido por IA. Ambientes Standard e Cluster Mode coexistem dentro da mesma aplicação, então você migra um ambiente por vez.

O argumento de custo por aplicação é o que todo time de plataforma interno já fez para financiar um cluster EKS compartilhado. A diferença é quem o opera: a AWS, pela vida da carga de trabalho, e você nunca vê um nó, um kubeconfig ou uma janela de upgrade.

Com vinte serviços pequenos e nenhum apetite por Kubernetes, o Cluster Mode é provavelmente o default certo. Se você tem um time de plataforma que já é dono do EKS, o Cluster Mode compete com ele pelas mesmas cargas e oferece menos controle: sem admission policies customizadas, sem ajuste de nós, sem escolha de CNI. O modo de falha é o que plataformas compartilhadas sempre têm, um upgrade de baseline que é certo para dezenove aplicações e errado para a vigésima, só que agora a vigésima não consegue fixar nada. Faça o piloto com as aplicações sobre as quais você ficaria feliz em perder controle.

Computação mais barata, de dois jeitos

Em 17 de setembro as instâncias EC2 T8i entraram em disponibilidade geral: Intel Xeon 6 de sexta geração customizado, placas Nitro de sexta geração, quatro tamanhos (nano, micro, small, medium), até 30% melhor preço-desempenho que a T3, até 70% mais computação, 1,25x a banda de rede, 2,4x a banda de EBS. Mesmo sistema de créditos de CPU com modos Standard e Unlimited, então a mudança de T3 é uma troca de tipo de instância e nada mais. t8i.micro e t8i.small estão no Free Tier.

Em 18 de setembro o ECS Express Mode adicionou ARM64 como arquitetura de CPU, então o caminho "me dê uma URL para esta imagem" pode cair em Graviton, que a AWS classifica com até 40% melhor preço-desempenho que x86. Configurável para serviços Express Mode novos e existentes via console, CLI, SDK e IaC.

Os dois só economizam dinheiro se alguém fizer a mudança. A frota de T3 na maioria das contas é bastions, build runners e ferramentas internas esquecidas; uma mudança de variável no Terraform e um instance refresh são o trabalho inteiro. Para ARM64 no Express Mode, o pré-requisito é uma imagem multi-arch, e o modo de falha é uma imagem base ou uma dependência nativa que só sai em amd64. Construa com docker buildx build --platform linux/amd64,linux/arm64 e deixe a manifest list fazer o trabalho, depois troque a arquitetura.

PrivateLink Tunnel Endpoints: compartilhe um CIDR, não um serviço

Em 18 de setembro o AWS PrivateLink anunciou Tunnel Endpoints, um novo tipo de VPC endpoint. Antes, compartilhar recursos com uma parte externa significava uma Resource Configuration por recurso. Agora uma Resource Configuration pode representar uma faixa CIDR na sua rede; você a compartilha pelo AWS RAM, e o outro lado cria um tunnel endpoint e usa encapsulamento GENEVE para alcançar qualquer coisa dentro daquela faixa. Cobrança por hora por tunnel endpoint mais uma cobrança por GB de dados processados.

Isso preenche a lacuna entre PrivateLink (um serviço, um endpoint, nenhuma exposição de roteamento) e Transit Gateway ou peering (roteamento completo, nos dois sentidos, e uma negociação de CIDR). Um fornecedor que precisa de quarenta hosts na sua subnet de gerenciamento costumava forçar a opção pesada; agora ele recebe um túnel para exatamente a faixa que você nomeou.

A cobrança por GB faz disto um caminho de control plane, não de dados em massa; modele o custo antes de alguém rotear backups por ele. E "uma faixa CIDR" é uma concessão mais ampla que "um serviço": a disciplina de security group e NACL dentro daquela faixa agora faz parte da sua superfície de ataque externa, então trate a faixa que você expõe como uma DMZ e dimensione-a de acordo.

Duas mudanças de identidade que quebram dashboards

Em 14 de setembro o login do usuário root passou a ser servido também de US East (Ohio) e US West (Oregon), além de N. Virginia, com tráfego distribuído entre as três. Bom para resiliência, mas o evento ConsoleLogin do CloudTrail para um login de root agora é registrado na Região que o processou. Se o seu alarme de login de root é um metric filter em um trail da us-east-1, ele agora captura cerca de um terço dos logins de root. Mova-o para um organization trail ou adicione as outras duas Regiões esta semana.

Em 15 de setembro o STS colapsou seus limites de session token em um único limite de 4.096 bytes, substituindo tetos separados para tamanho do token e para políticas de sessão e tags passadas. O STS agora retorna o tamanho do token e o percentual de utilização, registra isso no CloudTrail e publica métricas no CloudWatch; um novo parâmetro opcional gera tokens deliberadamente grandes para que você teste se seus proxies e headers sobrevivem a eles. Se você já bateu em "packed policy too large", esta é a correção, e o parâmetro de teste prova que a sua stack lida com o teto antes que uma session tag te empurre para dentro dele.

Também nesta semana

O fio condutor

O Cluster Mode e a nova experiência de builder são o mesmo produto em duas escalas: a AWS escolhe os defaults e assume a responsabilidade operacional que vem com eles. O custo é que defaults escolhidos para todo mundo não se encaixam perfeitamente em ninguém, e os lugares onde isso morde (ajuste de nós, um alarme de login de root que assumia uma Região, um session token que assumia dois limites) são exatamente os lugares que os lançamentos menores desta semana tocaram. O trabalho de plataforma não desaparece quando a AWS opera a plataforma; ele se move de construir a coisa para saber quais dos defaults dela estão errados para você.

Leia isto a seguir

Para a leitura de IA e agentes da mesma semana, veja ercan.ai. Se o seu time precisa de ajuda prática com AWS, arquitetura de nuvem, pipelines de CI/CD, Linux, GitHub ou GitLab e o trabalho de plataforma em volta deles, o lado de consultoria vive em ercanermis.com.

Referências