A semana de 6 de julho foi aquela em que o ferramental de migração da AWS parou de assumir que há um humano clicando nele. O DMS Schema Conversion passou a ser operável a partir do Kiro, do Claude Code e do Cursor pelo AWS MCP Server, e o AWS Transform for migrations adicionou um modo expert que recebe seus inputs de antemão e executa os passos sem o vai-e-vem do chat. Em volta deles, o Security Hub começou a sondar o seu parque a partir da internet pública em vez de inferir alcançabilidade, o change data capture do Aurora DSQL entrou em GA, e a taxa de gerenciamento de GPU no EKS Auto Mode e no ECS Managed Instances caiu em até 60%, retroativo a 1 de julho.

A conversão de schema vira uma API que o seu agente chama

O DMS Schema Conversion tem um assistente de IA generativa para objetos de código desde o re:Invent 2024. O que mudou em 10 de julho foi a superfície de controle. Um agente conectado ao AWS MCP Server agora pode criar um projeto de conversão, navegar nos metadados da origem, executar a conversão, gerar o relatório de avaliação e exportar o resultado, a partir de instruções em linguagem natural na IDE. Uma skill dms-schema-conversion é carregada sob demanda e carrega a ordem das APIs, os padrões de exclusão e o sequenciamento operacional para que o agente não precise redescobri-los. Cobre todos os pares de engine de origem e destino existentes e não adiciona custo além do próprio DMS.

O trade-off é o que todo wrapper agêntico carrega: ele remove o atrito que fazia controle de qualidade em silêncio. O relatório de avaliação era aquilo que você lia antes de se comprometer com um destino; quando um agente gera e exporta em uma única passada, o relatório vira um artefato que ninguém abre. Mantenha-o como gate. Trate o DDL convertido como um pull request de um júnior rápido: faça diff contra a origem, execute em um destino descartável e encaminhe as stored procedures, funções e triggers com as quais o agente "ajudou" por um humano que conhece a aplicação. Os pares de engine em que isso mais morde são os que têm mais dialeto, Oracle ou SQL Server para PostgreSQL, que são exatamente os pares que a maioria das pessoas está convertendo.

Modo expert do AWS Transform: menos perguntas, as mesmas aprovações

O fluxo de migration job no AWS Transform foi construído em torno de um chat que pergunta coisas em ordem. O modo expert, adicionado no mesmo dia, permite fornecer essas respostas de antemão para que o agente complete os passos de migração com interação mínima. Para um time rodando sua décima wave esse é o default certo; as perguntas eram as mesmas toda vez e as respostas já viviam em uma planilha de qualquer jeito.

O que não muda é a forma do risco. O agente ainda precisa que servidores de origem e recursos de rede estejam marcados com CreatedBy: AWSTransform e ATWorkspace: <workspace_id> antes de operar neles, ainda permite uma importação de inventário por conta de destino e Região por vez, e ainda roteia deploys pela aba Approvals, onde apenas usuários com papel Admin podem confirmar. Parar um job em execução e reiniciá-lo começa do zero. Então o modo expert não é piloto automático; é uma conversa mais curta na frente dos mesmos gates. Use-o quando o seu arquivo de inventário estiver estável, e mantenha o passo de validar e confirmar inventário como o ponto em que um humano lê os tipos de instância e as subnets mais uma vez.

O Security Hub começa a bater na porta de fora

O Network Scanning, lançado em 8 de julho, sonda seus recursos a partir da internet pública para confirmar alcançabilidade real. Ele encontra IPs públicos, máquinas virtuais e load balancers na AWS e no Azure, identifica as portas alcançáveis e os serviços por trás delas, e emite um finding por porta alcançável, com evidência. O Security Hub Exposures então correlaciona esses findings com findings de configuração. Está incluído no Security Hub Essentials sem custo extra, ligado por padrão para novos clientes, e clientes existentes o ativam por conta e Região ou em toda a organização com uma configuration policy.

Esta é uma pergunta diferente da que o Security Hub já respondia. "Isso poderia ser alcançável, dados os security groups e as route tables" é um modelo da sua rede; "isso é alcançável, acabei de me conectar" é uma medição. As duas discordam com mais frequência do que os times esperam, nas duas direções: um security group permissivo atrás de um NLB que só encaminha 443, ou uma porta alcançável que ninguém modelou porque chegou por um peering que você esqueceu. O modo de falha é volume. Se você roda ALBs públicos intencionais na 443, vai receber um finding para cada um, e a tentação será suprimir o controle inteiro. Não faça isso. Suprima por recurso, mantenha o controle e deixe o Exposures fazer a correlação que diz quais das portas abertas também estão em um host com uma CVE explorável.

O corte na taxa de GPU, e o que ele diz sobre o Auto Mode

EKS Auto Mode e ECS Managed Instances cortaram suas taxas de gerenciamento em instâncias aceleradas: 35% na série G, 60% na série P e no AWS Trainium, válido a partir de 1 de julho e aplicado automaticamente. O EKS Auto Mode também ganhou pull paralelo de imagens em instâncias GPU com NVMe local e reparo de nós ciente de aceleradores; o ECS Managed Instances expõe utilização, memória e temperatura de GPU no Container Insights e substitui instâncias em caso de falha de hardware de GPU.

A taxa de gerenciamento era o imposto honesto por deixar a AWS operar o seu data plane, e na série P era grande o bastante para que times atentos a custo mantivessem node groups de GPU autogerenciados enquanto colocavam todo o resto no Auto Mode. Cortá-la em 60% estreita essa diferença até o ponto em que o argumento operacional vence para a maioria dos times. Confira a tabela de tarifas por instância na página de preços: os percentuais são por família e a sua fatura é por hora de instância.

Também nesta semana

  • O change data capture do Aurora DSQL está em GA, transmitindo inserts, updates e deletes para o Kinesis Data Streams, com Firehose adiante para S3, Redshift ou OpenSearch; o anúncio não fala de ordenação nem de semântica de entrega, então construa consumidores idempotentes até que a documentação diga o contrário.
  • OAuth para o AWS MCP Server: agentes fazem login pelo navegador com a mesma identidade que você usa no console, recebem tokens de curta duração, e um fluxo headless usa create-oauth2-token-with-iam; novas condition keys do IAM e campos do CloudTrail vêm junto.
  • Claude apps gateway for AWS, um control plane auto-hospedado que coloca login OIDC, configurações gerenciadas e tetos de gasto por usuário na frente do Claude Code e do Claude Desktop, roteando a inferência para o Bedrock. Mais sobre o lado de agentes em ercan.ai.
  • Loom for AWS, open source no AWS Labs: uma UI e API de gestão para implantar agentes Strands no AgentCore Runtime com RBAC, ABAC e tagging obrigatório.
  • Integração SageMaker Studio e Hugging Face: deploy ou customização em um clique, com quota padrão de G5, G6 e G4dn para clientes verificados.
  • S3 Vectors chegou às duas Regiões AWS GovCloud (US).
  • Expansão regional do EC2: C8ine em Frankfurt e I7ie em Hyderabad.
  • Sandbox Environments no AWS Builder Center: contas pré-provisionadas gratuitas para exercícios de workshop, oito horas cada, uma por semana, no aniversário de um ano da plataforma.

O fio condutor

Três dos lançamentos desta semana entregam a uma máquina um workflow antes interativo: conversão de schema para um agente na IDE, waves de migração para o modo expert, login de agentes para o OAuth. Cada um remove um passo em que um humano costumava pausar e olhar. Os anúncios não removem os checkpoints, o relatório de avaliação, a confirmação de inventário, a aba Approvals, só tornam possível passar correndo por eles. O Network Scanning é o contrapeso: uma medição, não um modelo, do que a automação do resto da semana deixou exposto. Se você adota os três primeiros, adote o quarto.

Leia isto a seguir

Para a leitura de IA e agentes das mesmas semanas, as notas de campo vivem em ercan.ai. Consultoria em AWS, nuvem, pipelines de CI/CD, Linux, GitHub/GitLab e mais passa por ercanermis.com.

Referências