AWS Notes

Выбор детерминированного человека.

#AI

🆕 AWS MCP Server 🎉

https://docs.aws.amazon.com/aws-mcp/latest/userguide/what-is-mcp-server.html

1️⃣ AWS API MCP + Knowledge MCP integration = AWS MCP Server (as a single MCP server)
- AWS Documentation Search
- What's New / API Reference Lookup
- Automatically generate and execute any API calls across AWS services
- Automatically reflect the latest release service APIs

2️⃣ Support for Agent Standard Operating Procedures (SOPs)

3️⃣ Automate real world tasks: Create permissioned AWS API calls, create/update/delete resources, troubleshoot, and change settings

4️⃣ Enterprise-grade security model based on IAM + CloudTrail:
- Control permissions with IAM authentication/authorization
- Everything MCP Server does is recorded in CloudTrail logs

5️⃣ Optimized AI-native IDE integration

#MCP #AI

🆕 IAM Policy Autopilot

https://aws.amazon.com/blogs/aws/simplify-iam-policy-creation-with-iam-policy-autopilot-a-new-open-source-mcp-server-for-builders/

As an MCP server, IAM Policy Autopilot operates in the background as builders converse with their AI coding assistants.

When your application needs IAM policies, your coding assistants can call IAM Policy Autopilot to analyze AWS SDK calls within your application and generate required identity-based IAM policies, providing you with necessary permissions to start with.

After permissions are created, if you still encounter Access Denied errors during testing, the AI coding assistant invokes IAM Policy Autopilot to analyze the denial and propose targeted IAM policy fixes.

After you review and approve the suggested changes, IAM Policy Autopilot updates the permissions.

#IAM

Route 53 Global Resolver

https://aws.amazon.com/blogs/aws/introducing-amazon-route-53-global-resolver-for-secure-anycast-dns-resolution-preview/

Global Resolver is a next-generation DNS resolution service that goes beyond the capabilities of traditional Route 53 Resolver (VPC only) and includes internet reachable, enhanced security, multi-region Anycast, and DNS Firewall-based protection.

1️⃣ Reconcile public + private domains all at once — Split DNS Anywhere
2️⃣ DNS-based data leak prevention — DNS Firewall full integration
3️⃣ Global Anycast + Multi-Region Automatic Failover
4️⃣ Service name cleanup — Change the existing Resolver to "Route 53 VPC Resolver"
5️⃣ Security + Flexibility + Maximum Scalability

#Route53

EKS Capabilities: Argo CD, ACK, KRO и другие из коробки! 🔥

https://aws.amazon.com/blogs/aws/announcing-amazon-eks-capabilities-for-workload-orchestration-and-cloud-resource-management/

There are no upfront commitments or minimum fees, and you only pay for the EKS Capabilities and resources that you use.

Хм. В переводе на простой — поддержка за деньги.

$0.03 per Argo CD Capability hour
$0.0015 per Argo CD Application hour
$0.005 per ACK Capability hour
$0.00005 ACK resource hour
$0.005 per KRO Capability hour
$0.00005 per KRO RGD instance hour

#EKS

🆕 AWS Interconnect - Multicloud 💪

https://aws.amazon.com/about-aws/whats-new/2025/11/preview-aws-interconnect-multicloud/

Подключение к другим облакам (на теперь лишь GCP, следующий Azure) по внутренним сетям (без выхода в интернет). То есть AWS VPC <=> GCP VPC напрямую (точней через PrivateLink, как понимаю).

Соответственно прямая интеграция с Transit Gateway / Cloud WAN / VPC

AWS Region - Google Region mapping:

- AWS US East (N. Virginia) us-east-1 <=> Google Cloud N. Virginia (us-east4)
- AWS US West (N. California) us-west-1 <=> Google Cloud Los Angeles (us-west2)
- AWS US West (Oregon) us-west-2 <=> Google Cloud Oregon (us-west1)
- AWS Europe (London) eu-west-2 <=> Google Cloud London (europe-west2)
- AWS Europe (Frankfurt) eu-central-1 <=> Google Cloud Frankfurt (europe-west3)

#Interconnect

🆕 Lambda Managed Instances

https://aws.amazon.com/blogs/aws/introducing-aws-lambda-managed-instances-serverless-simplicity-with-ec2-flexibility/

Lambda в стиле ECS — возможность запускать свои serverless нагрузки на собственных EC2 инстансах.

Великолепное решение для тех, у кого счёт за Lambda $1000+, т.к. перенос затратных длительных исполнений на EC2 даст существенную экономию.

У кого мелкие расходы, то учитывая +15% за обслуживание (от стоимости EC2) вряд ли подойдёт.

▫️ First, you pay standard Lambda request charges of $0.20 per million invocations.
▫️ Second, you pay standard Amazon EC2 instance charges for the compute capacity provisioned. Your existing Amazon EC2 pricing agreements, including Compute Savings Plans and Reserved Instances, can be applied to these instance charges to reduce costs for steady-state workloads.
▫️ Third, you pay a compute management fee of 15% calculated on the EC2 on-demand instance price to cover AWS’s operational management of your instances.
▫️ Note that unlike traditional Lambda functions, you are not charged separately for execution duration per request.

Пока не вижу возможности использования Spot для такого, что могло бы дать экономию и для средних нагрузок.

В любом случае отличная штука, точно нужно пробовать.

#Lambda

Мои прогнозы на re:Invent 2025

Кроме очевидных тем AI во всех видах, это:

IPv6

Возможно (должны) отрапортуют, что, наконец-то, IPv6 в полный рост теперь на AWS для всего. Ждал этого давно, надежда на этот год. :)

PQC и шифрование вообще

Post Quantum Cryptography во всех значимых сервисах, включая внутри самого AWS. Важная веха, нужно защищаться заранее, т.к. после будет поздно (а может и уже). Включая шифрование всего внутрисетевого трафика также с PQC. Короче, PQC — это новый HTTPS, можно считать HTTPS 2.0.

Агенты

Без AI не обойтись. У AWS есть теперь всё нужное для не просто автоматизации, а создания нового AI-first подхода. Поэтому сервисы, управляющие сервисами это новый AWS. Заменяющий старый AWS. Вместе с теми, кто по старинке его использует.

#reInvent

#пятничное

☁️ AWS re:Invent 2025: Смотрим главные анонсы года вместе!
Коллеги, следующая неделя — самая горячая в году для облачного мира. Стартует re:Invent 2025, и количество новинок будет зашкаливать.
Чтобы вы не тонули в потоке релизов, мы проведем серию прямых эфиров. Разберем ключевые кейноуты, обсудим новые сервисы и архитектурные подходы. С меня — экспертиза от AWS Solutions Architect-ов, с вас — интересные вопросы в чате.


📌 Сохраняйте расписание стримов:

1️⃣ Среда, 3 декабря | 15:30 CET Тема: CEO Keynote (Matt Garman). Стратегия, Compute, Storage и база облака. 🔗 https://www.youtube.com/watch?v=kjct4Kz54Os
2️⃣ Четверг, 4 декабря | 15:30 CET Тема: Agentic AI (Dr. Swami Sivasubramanian). Всё про ИИ-агентов, Bedrock и будущее разработки. 🔗 https://www.youtube.com/watch?v=mBGtwLTNzZw
3️⃣ Пятница, 5 декабря | 15:30 CET Тема: Grand Finale (Infrastructure + Werner Vogels). Железо, чипы и легендарный технический кейноут от CTO Amazon. 🔗 https://www.youtube.com/watch?v=oVK3qe0RHHk


Буду рад видеть всех на стримах — обсудим, куда движется индустрия, в живом формате! 🚀
#AWS #reInvent2025 #DevOps #Cloud #AI

S3 + Blocking public access + Organizations level 🎉

https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-control-block-public-access.html#access-control-block-public-access-organization-level

Раньше приходилось на каждом аккаунте включать блокировку, теперь можно сразу для всей AWS Organizations.

#S3 #Organizations

Route 53 + Accelerated recovery 🎉

Фича, которая специально предназначен для случаев, когда падает N.Virginia (us-east-1) регион, чтобы дать возможность, максимум в течение часа после падения, управлять своими DNS записями.

Что обычно невозможно при проблемах с N.Virginia, т.к., собственно, они там и находятся.

https://aws.amazon.com/blogs/aws/amazon-route-53-launches-accelerated-recovery-for-managing-public-dns-records/

Реализовано по рабоче-крестьянски просто: при активации "Accelerated recovery" для выбранной hosted zone ваши DNS записи копируются в регион Oregon (us-west-2) регион. Пока лежит Вирджиния, рулите через Орегон, бинго!

https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/accelerated-recovery.html

Не понял, что по стоимости, берут ли за это ещё и деньги. Скорей нет, ведь при таких случаях как бы даже платить должны бы. Но это не точно. ©

#Route53

Lambda + Node.js 24 🎉

https://aws.amazon.com/blogs/compute/node-js-24-runtime-now-available-in-aws-lambda/

#Lambda

🔥The AWS Lambda roadmap is now open and on GitHub! See what AWS is working on, researching, and planning. Provide feedback, collaborate on ideas! 😎

s12d.com/lambda-roadmap

CloudFront + BYOIP 🎉

https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/bring-your-own-ip-address-using-ipam.html

Теперь можно завести свой домашний CloudFront — используя собственный кусочек сети!

Для многих строгих compliance случаев это, наконец-то, решает вечную (точнее 17-летнюю) проблему айпишников CloudFront, которыми нельзя было управлять, т.к. они постоянно меняются.

Теперь с помощью IPAM сервиса они будут меняться лишь в пределах вашего диапазона айпишников.

Пока только IPv4, но, уверен, скоро подтянется и IPv6.

#CloudFront

Все сотрудники AWS снова напряглись:

Только не Chime, только не передумайте на счёт Chime!...

CodeCommit — вычёркиваем вычёркивание (вписываем обратно)! 🔥

https://aws.amazon.com/blogs/devops/aws-codecommit-returns-to-general-availability/

Вы успели мигрировать? Зачем так спешить, да? Теперь мигрируйте обратно!

Вы долго собирались? И правильно, всё нужно сначала обдумать. А там, глядишь, и не пригодится.

По многочисленным просьбам трудящихся девопсов (включая меня) AWS CodeCommit возвращается в обычный режим и не будет закрыт. Ура!

P.S. Вы же уже переделали ваши курсы, верно?...

#CodeCommit

Aurora PostgreSQL + dynamic data masking 🎉

https://aws.amazon.com/blogs/database/protect-sensitive-data-with-dynamic-data-masking-for-amazon-aurora-postgresql/

Фича dynamic data masking реализована с помощью расширения pg_columnmask и позволяет на уровне БД задавать, что будет показано в ответе на SQL запрос.

В результате можно иметь одну и ту же БД на проде и на тесте, что звучит очень привлекательно, где аналитики могут спокойно мучить её своими запросами и при этом требования по compliance будут соблюдены.

Осталось только, чтобы бесконечные compliance инструменты посчитали такую защиту достаточной.

⚠️ Поддержка dynamic data masking есть в PostgreSQL начиная с 16.10 и 17.6 версий.

#Aurora #PostgreSQL

CloudFront + Mutual TLS 🎉

https://aws.amazon.com/blogs/networking-and-content-delivery/trust-goes-both-ways-amazon-cloudfront-now-supports-viewer-mtls/

#CloudFront

Многие плохо реагируют на AI инструменты, которые очень активно появляются на AWS и зря.

В 2025-м году AWS выбрал агрессивную стратегию внедрения AI в свои сервисы. Первым стал внедрять MCP, A2A и другие самые новые протоколы, причём все они выходят сразу в прод.

И цель не продать их, как многие думают, а трансформироваться самому в первую очередь. Ровно поэтому все ключевые сервисы обзавелись MCP так быстро и, вот, к реинвенту, завезли самые сочные: для ECS и EKS.

Ситуация повторяет процесс 20-летней давности, когда Amazon клепал сервисы-кубики для своих внутренних нужд, а потом стал продавать их эти сервисы-кубики другим.

Только с опытом, деньгами и скоростью AWS, этот процесс, который тогда занимал годы, теперь сжимается в месяцы.

На момент написания у AWS уже 62 MCP сервера. Это значит, что уже сейчас с помощью AI можно построить очень много чего.

Хотя, правда, при этом нет самых базовых — для EC2, S3, VPC, CloudFront, а также популярных APIGW, KMS, OpenSearch. Видимо приберегли для реинвента.

Что (с)может делать AWS имея "точки входа для AI" для всех своих сервисов?

Уволить всех. Предложить сервисы для управления сервисами!

#AI