A semana de 5 de outubro de 2026 teve dois fios que merecem a atenção de um time de plataforma: o AWS Transform aprendeu a inventariar parques Microsoft Hyper-V sem nada instalado nos hosts, e uma sequência de lançamentos menores empurrou controles de identidade e certificados para camadas que antes confiavam na rede em que estavam. Os event source mappings de Kafka do Lambda aceitam OAuth, o diretório do IAM Identity Center pode recusar requisições que não passem pelos seus VPC endpoints, a emissão pública via ACME roda sobre PrivateLink, e o GuardDuty lê consultas PostgreSQL em vez de apenas logins. Nenhum deles é manchete. Juntos, são a semana.

A mesa de migração: Hyper-V ganha discovery sem agente

Em 7 de outubro a AWS publicou Discover and migrate Microsoft Hyper-V workloads with AWS Transform, arquivado como anúncio. A ferramenta de discovery do Transform agora registra cada host Hyper-V como origem, conecta via WinRM e lê vCPU, memória, discos, adaptadores de rede, estado de energia e participação em failover cluster de cada VM. A coleta se repete a cada hora, VMs em cluster são deduplicadas, e o System Center Virtual Machine Manager não é necessário. A ferramenta é entregue como appliance VHD que também coleta do vCenter e de bare metal importado por CSV, então um parque misto ganha um único inventário. Com credenciais de guest, adiciona amostras de desempenho de 10 minutos, conexões de rede para mapeamento de dependências e detalhes de SQL Server e Oracle, alimentando a cadeia de sempre: case de TCO com dimensionamento de EC2 a partir da utilização medida, plano de waves, landing zone.

A mudança em si continua sendo o AWS Transform MGN na camada do SO convidado, o que significa um agente de replicação em cada servidor de origem. O discovery é sem agente; a migração não é, e as aprovações de mudança para o rollout do agente são a parte que consome calendário.

Dois posts companheiros chegaram na mesma semana. When to use what: A guide to AWS Transform interfaces (9 de outubro) é o primeiro mapa claro do console, do Kiro e de outras IDEs com IA, da CLI atx com as flags não interativas -x -t para pipelines, e do MCP server. Leia antes de escolher um ponto de entrada: a CLI cobre apenas transformações custom. E Run least-privilege AWS DMS CDC migration from SQL Server (6 de outubro) é o texto sobre permissões com o qual todo projeto de DMS deveria ter começado.

OAuth chega aos consumidores Kafka do Lambda

Em 9 de outubro o AWS Lambda adicionou autenticação OAuth para event source mappings de Apache Kafka autogerenciado. Até agora um ESM de Kafka podia autenticar com SASL/PLAIN, SASL/SCRAM ou mTLS, nada mais. Times cujos clusters estavam travados em um IdP somente OAuth (Okta, Cognito) não conseguiam usar o ESM, então rodavam a própria frota de consumidores e perdiam o scaling, o batching, a filtragem e o tratamento de erros que o ESM dá de graça. Funciona para clusters auto-hospedados e para Confluent Cloud, Aiven e Redpanda.

O trade-off: a identidade do seu consumidor agora é um token com tempo de vida, então uma queda do IdP aparece como um event source mapping parado em vez de um erro de login que alguém observa. Coloque a métrica OffsetLag do ESM em um alarme antes de trocar o método de autenticação, não depois.

O plano de identidade e certificados fica privado

Três lançamentos em 5 e 6 de outubro compartilham uma forma. O IAM Identity Center agora suporta controles de acesso de rede para o Identity Store: você pode exigir que chamadas à API do Identity Store cheguem apenas por VPC endpoints permitidos na sua conta ou organização, e restringir a API SCIM que o seu IdP externo usa para sincronizar usuários e grupos. O diretório que define quem é a sua força de trabalho passa a ser alcançável apenas de onde você disser.

O ACM agora suporta emissão ACME pelo AWS PrivateLink. Crie um VPC interface endpoint para o serviço ACME do ACM e o DNS privado resolve a URL do seu diretório ACME existente para ele, então qualquer cliente ACMEv2 renova certificados públicos sem caminho para a internet e sem mudanças no cliente. Para hosts em subnet privada que mantêm uma rota de NAT apenas para renovar certificados, é uma exceção de egress inteira que desaparece.

O AWS Private CA agora emite logs detalhados de emissão de certificados: um evento de serviço do CloudTrail, IssueCertificateDetails, com o conteúdo completo do certificado, a CA emissora, a identidade do solicitante e o status de assinatura para cada emissão, inclusive as que falharam antes da assinatura. O antigo management event te dava um ARN. Se você está acompanhando uma migração de algoritmo ou precisa de um inventário de certificados que não seja uma planilha, esta é a fonte da verdade que estava faltando.

Trate os três como um único change set: Identity Store e SCIM atrás de VPC endpoints, ACME via PrivateLink, logs de emissão na conta de auditoria. O modo de falha para planejar é o caminho break-glass. Quando a política do endpoint está errada, a sincronização SCIM para em silêncio e o erro aparece como "usuário não encontrado" em uma aplicação sem relação dois dias depois.

O GuardDuty lê as consultas, não só os logins

Em 8 de outubro o GuardDuty RDS Protection se expandiu para detectar exfiltração e destruição de dados em Aurora PostgreSQL e RDS for PostgreSQL. Antes ele olhava anomalias de login. Agora estabelece um baseline da atividade de dados e sinaliza acessos incomuns usando detecção de anomalias mais inteligência de ameaças, sem agentes e sem mudanças no banco. A lacuna que fecha é a que todo relatório pós-incidente menciona: uma vez que um atacante tem credenciais válidas, suas consultas se parecem exatamente com as da aplicação. O monitoramento de login não vê nada. O monitoramento do formato das consultas ao menos tem uma chance.

Também nesta semana

O fio condutor

Por anos o padrão foi: autenticar o usuário na borda e depois confiar na rede atrás dela. Nesta semana a AWS continuou movendo a verificação para dentro. A API do diretório quer saber por qual VPC endpoint você entrou. A renovação do certificado nunca sai da VPC. O consumidor Kafka carrega um token do IdP. O modelo de ameaça do banco assume que a credencial já foi roubada e olha o que as consultas fazem. No lado da migração, o Transform lê hosts Hyper-V via WinRM em vez de plantar agentes, o mesmo instinto aplicado ao parque que você está deixando. O número de lugares em que "está dentro da rede" conta como resposta encolheu de novo.

Leia isto a seguir

Para a leitura de modelos e agentes da mesma semana, as notas de campo de IA vivem em ercan.ai. O hub, incluindo consultoria em AWS, nuvem, pipelines de CI/CD, Linux, GitHub/GitLab e mais, está em ercanermis.com.

Referências