Duas restrições em torno das quais times de plataforma projetaram por uma década desapareceram na semana de 13 de julho. O S3 eliminou a espera de 30 dias antes de um objeto poder passar de S3 Standard para Standard-IA ou One Zone-IA, e o Lambda parou de copiar o seu pacote de deploy para o armazenamento dele, o que remove a quota de code storage e encurta a ativação depois de um deploy. Uma terceira mudança é menor mas importa para quem está consolidando identidade: o Cognito agora pode importar usuários com seus hashes de senha existentes, então uma migração de outro provedor de identidade não força mais um reset de senha em cada usuário. No lado da IA, os GPT-5.6 Sol, Terra e Luna da OpenAI entraram em GA no Bedrock.

Nenhum lançamento de migração ou modernização caiu nesta janela além da mudança do Cognito, então o post é mais curto que o da semana passada. Ainda é uma semana com um tema: a AWS removeu limites que existiam para a conveniência da AWS, não para a sua.

S3: Infrequent Access no dia zero

Até 16 de julho uma regra de lifecycle não podia transicionar um objeto para S3 Standard-IA ou One Zone-IA até que ele tivesse ficado 30 dias em S3 Standard. Agora a regra pode dizer 0 dias, e a transição acontece já no dia em que o objeto é criado. A AWS vende isso para backups, análise de logs e dados de compliance que esfriam em horas, e a tarifa de armazenamento das classes IA fica até 40% abaixo do S3 Standard com o mesmo acesso em milissegundos.

Leia as considerações sobre transições antes de mudar toda regra para zero, porque as coisas que tornavam o IA caro para a carga de trabalho errada continuam intactas. Objetos abaixo de 128 KB não transicionam por padrão, e você paga uma requisição de transição por objeto de qualquer forma, então um bucket de pequenos fragmentos de log fica mais caro, não mais barato. As classes IA mantêm sua cobrança de duração mínima de armazenamento, então um objeto que você escreve, rebaixa no dia zero e apaga no dia três é cobrado como se tivesse ficado. E o IA cobra por GB recuperado, que é o que transforma dados "frios" em surpresa quando um job de reprocessamento lê tudo de volta. Uma regra concreta para um prefixo de backup fica assim:

{
  "Rules": [{
    "ID": "backups-to-ia-day-zero",
    "Status": "Enabled",
    "Filter": { "Prefix": "backups/" },
    "Transitions": [{ "Days": 0, "StorageClass": "STANDARD_IA" }]
  }]
}

A carga de trabalho certa é dado escrito uma vez, lido raramente e mantido além da duração mínima. Backups e arquivos de compliance se qualificam. Logs de aplicação que você acompanha por uma semana não, e o S3 Intelligent-Tiering já cuidava do caso "não sei" sem a taxa de recuperação.

Lambda: o seu bucket é a fonte da verdade

O Lambda costumava copiar todo pacote de deploy para o armazenamento gerenciado pelo Lambda quando você criava ou atualizava uma função ou layer. Essa cópia era o que a quota de code storage de 75 GB por Região contava, e era um passo no caminho crítico de todo deploy. A partir de 15 de julho você pode definir S3ObjectStorageMode como REFERENCE em uma função ou layer e o Lambda lê o código do seu bucket em vez disso. Código referenciado não conta contra a quota, a quota gerenciada em si subiu de 75 GB para 300 GB para todos os outros, não há cobrança adicional do Lambda, e você paga o armazenamento do S3 mais transferência cross-Region onde se aplica. O service principal do Lambda precisa de s3:GetObject e s3:GetObjectVersion no bucket.

O trade-off é que agora você é dono de uma dependência de disponibilidade que não tinha. Se o objeto do bucket for apagado, sobrescrito ou a política dele quebrar, isso é um incidente de Lambda. O versionamento no bucket deixa de ser opcional, o pipeline de deploy precisa escrever chaves novas em vez de sobrescrever, e a política do bucket precisa do mesmo controle de mudanças que o papel IAM da função. Times com centenas de funções e layers, onde a quota de 75 GB significava um ticket de suporte por trimestre, são os que mais ganham com isso. Um time com vinte funções deveria perguntar se a ativação mais rápida vale mais uma coisa que pode ser mal configurada.

Cognito: a migração que não reseta mais senhas

Mover uma base de usuários para o Cognito via importação CSV sempre teve um momento feio: todo usuário importado precisava redefinir a senha no primeiro login, porque o Cognito não aceitava hashes do sistema de origem. A partir de 15 de julho o CSV pode carregar os hashes, você declara o algoritmo, e o Cognito verifica a senha do usuário contra o hash importado no primeiro login e depois a protege de novo. Suportados: bcrypt, scrypt, Argon2id e PBKDF2 com SHA-256, em toda Região onde o Cognito roda.

Este é o tipo de mudança que decide se um projeto de consolidação acontece. O reset forçado era o motivo pelo qual muitos times mantinham um IdP legado vivo em paralelo por um ano, com o trigger de migração no primeiro login. Agora o cutover pode ser uma única importação. O modo de falha é o próprio export dos hashes: o sistema de origem precisa te dar os parâmetros do algoritmo exatamente, e um descasamento não falha de forma barulhenta, falha como "senha incorreta" para a base de usuários inteira de uma vez. Teste com uma amostra que inclua usuários de toda configuração histórica de hashing que o sistema antigo já usou.

Também nesta semana

O fio condutor

A regra de 30 dias do S3 e a cópia de código do Lambda eram ambas artefatos de como a AWS construiu o serviço, não do que os clientes precisavam. As duas eram contornadas com ferramental: Intelligent-Tiering para a primeira, scripts de limpeza de layers e tickets de quota para a segunda. Removê-las é bom, e é também um lembrete do que o contorno escondia. IA no dia zero expõe o preço de recuperação e de duração mínima que a espera de 30 dias impedia a maioria das pessoas de encontrar. Código referenciado expõe o seu bucket como dependência de runtime. A importação de hashes do Cognito remove o reset forçado e expõe a qualidade do export do seu IdP antigo. Em cada caso a AWS devolveu uma decisão que costumava tomar por você.

Leia isto a seguir

Para a leitura de IA e agentes das mesmas semanas, as notas de campo vivem em ercan.ai. Consultoria em AWS, nuvem, pipelines de CI/CD, Linux, GitHub/GitLab e mais passa por ercanermis.com.

Referências