AWS Notes

Вышел релиз 0.33.1 SRE Learning Platform - крупнейшее обновление по Istio за всю историю проекта: полноценный курс для самостоятельного изучения + 4 новые практические лабы. Если готовитесь к экзамену ICA или эксплуатируете Istio в проде - это для вас - НОВОЕ: - курс по Istio для самостоятельного изучения 32 главы, разбитые на две части: • Часть 1 - подготовка к экзамену ICA • Часть 2 - лучшие практики для прода Каждая глава связана с практической лабой - учитесь на деле, а не только на теории. Изучать можно как на русском, так и на английском - 4 новые лабы по Istio: • Лаба 32 - gRPC: балансировка нагрузки по запросам, именование портов, ретраи и таймауты • Лаба 33 - производительность и эксплуатация control plane: discovery selectors, Sidecar scope, golden signals istiod, OPA Gatekeeper • Лаба 34 - защита и модель угроз: STRICT mTLS, default-deny, контроль egress, RBAC для Istio CRD, NetworkPolicy • Лаба 35 - мультикластерный mesh: multi-primary, multi-network, общий CA, east-west gateway, межкластерный discovery ⚙️ Улучшения: • ping_pong теперь работает по gRPC (Echo + Health + reflection) со встроенным gRPC-клиентом / генератором нагрузки • Debug-образы ставят kubectl-k8i через krew с автодополнением в shell; scratch/alpine-образы теперь кросс-компилируются нативно (BuildKit BUILDPLATFORM), а не под QEMU Платформа бесплатная и с открытым исходным кодом. Ставьте звезду, форкайте и учитесь ⭐️ https://github.com/ViktorUJ/cks Отличного настроения и пусть ваш прод живёт без падений! #Istio #ServiceMesh #Kubernetes #SRE #DevOps #CloudNative #ICA #gRPC

AWS набирает джунов: https://www.platformer.news/matt-garman-aws-ceo-interview-ai-jobs/

Словарь Девопса — говори правильно ✅ ❌ Открыли 0.0.0.0/0 ✅ Обеспечили глобальную доступность сервиса ❌ Бэкап ни разу не проверяли ✅ Восстановление подтверждено на уровне архитектурных предположений ❌ Well-Architected Review ✅ Инвентаризация исторических компромиссов ❌ Один человек знает, как это работает ✅ Сформирован центр глубокой технологической экспертизы ❌ Счёт за CloudWatch больше всего остального ✅ Наблюдаемость стала основным потребителем наблюдаемой инфраструктуры ❌ План выглядит подозрительно ✅ План изменений обладает повышенной исследовательской ценностью ❌ Отключили тесты, чтобы прошло ✅ Оптимизировали time-to-market за счёт перераспределения проверок ❌ Форс-пушнули в master ✅ Выполнили приоритетную синхронизацию основной ветки ❌ Argo CD всегда показывает OutOfSync ✅ GitOps непрерывно обнаруживает реальность ❌ Обновили прод в пятницу ✅ Ускорили получение обратной связи перед выходными ❌ CPU 100% ✅ Вычислительные ресурсы используются с максимальной экономической эффективностью ❌ OOMKilled ✅ Платформа защитила кластер от чрезмерных амбиций приложения ❌ Алерт уже месяц горит ✅ Сигнал успешно прошёл проверку на устойчивость ❌ Grafana недоступна ✅ Платформа наблюдаемости временно не наблюдаема ❌ Откат не работает ✅ Предыдущая версия также участвует в инциденте ❌ После отката стало ещё хуже ✅ Расширили диапазон доступных деградированных состояний ❌ CloudFormation: UPDATE_ROLLBACK_FAILED ✅ Стек перешёл в режим экспертного сопровождения ❌ Нас взломали ✅ Произошло несанкционированное расширение круга пользователей ❌ API при ошибке возвращает 200 ✅ Транспортный успех отделён от бизнес-результата ❌ Этот человек в отпуске ✅ Критическая экспертиза временно недоступна в активном контуре ❌ Созвонились на три часа ✅ Провели расширенную сессию синхронизации контекста ❌ Ничего не решили ✅ Сформировали общее понимание сложности проблемы ❌ Решили создать ещё один митинг ✅ Зафиксировали необходимость следующей итерации выравнивания ❌ Сервер поднялся, когда трафик упал ✅ Спрос адаптировался к доступности платформы ❌ Починилось само ✅ Система самостоятельно вернулась к устойчивому равновесию ❌ Сделали постмортем ✅ Конвертировали страдание в организационное знание ❌ Виноват Вася ✅ Обнаружена персонализированная точка отказа ❌ Уволим Васю ✅ Устраним текущую реализацию single point of failure ❌ Ничего менять не будем ✅ Риск принят в рамках существующей операционной модели ❌ AWS счёт вырос в три раза ✅ Использование AWS подтвердило способность бизнеса к масштабированию #пятничное

AWS оплачивает половину экзамена на AI-сертификацию. Мы командой запустили эту программу для Центральной и Восточной Европы. Называется AWS AI Get Certified Challenge. Бесплатно. Для разработчиков, которые хотят получить AI-сертификат AWS и не платить полную цену за подготовку и экзамен. Что дают: ✅ 3 месяца AWS Skill Builder Team: 2500+ курсов, 150+ лаб ✅ 50% скидка на экзамен ✅ Живые сессии со специалистами AWS ✅ Офлайн study-группы через локальные AWS User Groups Выбираешь одну из трёх сертификаций: 🎯 AI Practitioner, если только начинаешь с AI 🎯 Machine Learning Engineer Associate, если строишь и держишь ML в проде 🎯 GenAI Developer Professional, если работаешь с Bedrock, RAG и агентами. Сертификация новая. Цель большая: 5000 сертифицированных разработчиков в 19 странах, со study-группами через 42 User Group одновременно. Регистрация открыта до 15 августа. Программа стартует 1 сентября. Все детали и регистрация: https://s12d.com/vbaau5g

Всех приветствуем ! 🔥 Выпущена 0.32.1 версия платформы для изучения SRE! 🔥 GitHub 📌 Что нового: добавлен полный набор лабораторных работ покрывающих экзамен Istio Certified Associate (ICA) 04 Istio.Zero Trust: mTLS and AuthorizationPolicy. Lab 05 Istio.Controlled Egress: ServiceEntry, Egress Gateway and Sidecar scope. Lab 06 Istio.Load Balancing and Traffic Mirroring. Lab 07 Istio.Helm install and Canary upgrade with revisions. Lab 08 Istio.Observability: Prometheus, Jaeger and Kiali. Lab 09 Istio.Advanced: Ambient mode. Lab 10 Istio.Resilience: Timeout and Circuit Breaker. Lab 11 Istio.End-user authentication: RequestAuthentication and JWT. Lab 12 Istio.Troubleshooting: istioctl analyze, proxy-status, proxy-config. Lab 13 Istio.Securing Edge Traffic with TLS. Lab 14 Istio.Locality-aware Failover. Lab 15 Istio.Installation & Configuration: customizing the Istio install (IstioOperator and MeshConfig). Lab 16 Istio.Kubernetes Gateway API: ingress routing with Gateway and HTTPRoute. Lab 17 Istio.Rate Limiting: local rate limit with EnvoyFilter. Lab 18 Istio.Telemetry API: access logs and distributed tracing. Lab 19 Istio.Custom CA: plug your own root and intermediate CA into istiod. Lab 20 Istio.mTLS migration: PERMISSIVE to STRICT with zero downtime. Lab 21 Istio.Sidecar scoping: limit the proxy configuration scope. Lab 22 Istio.TLS origination: initiate TLS from the mesh. Lab 23 Istio.WasmPlugin: extend the data plane with WebAssembly. Lab 24 Istio.Ambient: waypoint proxy and L7 authorization. Lab 25 Istio.Progressive delivery with Flagger. Lab 26 Istio.Dynamic CA: cert-manager and istio-csr. Lab 27 Istio.EnvoyFilter and Lua: custom logic with an inline script. Lab 28 Istio.TCP routing: routing non-HTTP traffic. Lab 29 Istio.Ingress TLS: MUTUAL and PASSTHROUGH modes. Lab 30 Istio.StatefulSets and headless services in the mesh. Lab 31 Istio.Zero-downtime production migration: ingress-nginx to Istio Gateway. 🧪 Доступные пробные экзамены: CKA CKAD CKS ICA KCNA KCSA LFCS 🧪 Доступные лабораторные работы Скрипты и видео с решениями экзаменов: документация ping-pong сервера Отличного настроения и пусть ваш прод живёт без падений!

без подписи

Update: Jul 24 6:01 AM PDT Between 3:55 AM and 4:15 AM PDT, we experienced connectivity issues that impacted connectivity to the US-WEST-2 Region. ... The issue has been resolved and all AWS services are operating normally. https://health.aws.amazon.com/health/status

More AI-generated code doesn't make your team faster. It might actually slow you down. https://x.com/awscloud/status/2064449711155589396 #AI #YouAreAbsolutelyRight #friday

🇨🇭 Дешёвые AWS spot виртуалки для Hermes агента Пользуюсь Hermes агентом на AWS для своих личных задач плюс работы со своей инфраструктурой в личном AWS аккаунте. Задался целью минимизировать расходы на такого Hermes агента, работающего на AWS. Прошёл весь путь запуска Hermes, начиная от nano и выше. Выяснилось, что реально рабочие конфигурации для Hermes начинаются от 1 CPU + 2 GB RAM, то есть small и выше. Для того, чтобы не подкручивать настройки и использовать Hermes относительно комфортно, то это 2 CPU + 4 GB RAM, то есть medium и выше. Крутить на on-demand такое можно, но Hermes вполне может быть с некоторым даунтаймом, чуть что, поэтому добавив простой бэкап скрипт всего конфига на S3, можно поднять такое на спотах. И вот тут выяснилась засада. Просто так найти спот виртуалку (в регионе Frankfurt и Stockholm как ближайшие AWS регионы), которая просто выживет и не упадёт в течение суток на спотах в этом диапазоне конфигураций (1-2+ CPU & 2-4+ GB RAM) — очень непростая задача. В результате прогнал по всем доступным подобным конфигам в этом диапазоне виртуалок, перебирая те, кто проживут 24часа+, как некоторая гарантия, что она будет жить дальше. По личной статистике за последний год, если падает, то обычно в первые же сутки, а если нет — может работать многими месяцами. 🏁 Score-list Зоны: 🇸🇪 = eu-north-1 Stockholm 🇩🇪 = eu-central-1 Frankfurt •/••/••• = разные AWS Zone IDs внутри региона # Pass EC2-type Zone CPU RAM Cost $/month Cheaper× 01 ✅ t3.small 🇸🇪••• 2 2 4.6 3.4x 02 ✅ t3.small 🇸🇪•• 2 2 5.0 3.1x 03 ✅ t4g.small 🇩🇪• 2 2 5.7 2.5x 04 ✅ t3a.small 🇩🇪•• 2 2 6.1 2.6x 05 ✅ c8g.medium 🇸🇪•• 1 2 7.2 4.3x 06 ✅ c7g.medium 🇸🇪••• 1 2 7.2 3.9x 07 ✅ t3.small 🇩🇪• 2 2 7.3 2.4x 08 ✅ t3.small 🇩🇪••• 2 2 7.4 2.4x 09 ✅ m8g.medium 🇸🇪•• 1 4 8.8 3.9x 10 ✅ c7g.medium 🇸🇪•• 1 2 8.8 3.2x 11 ✅ m8g.medium 🇸🇪• 1 4 9.3 3.8x 12 ✅ t3.medium 🇸🇪••• 2 4 10.5 3.0x 13 ✅ m7g.medium 🇸🇪••• 1 4 10.5 3.0x 14 ✅ t3.medium 🇸🇪• 2 4 10.9 2.9x 15 ✅ c8g.medium 🇩🇪•• 1 2 11.0 3.0x 16 ✅ r7g.medium 🇸🇪•• 1 8 11.1 3.8x 17 ✅ t3.medium 🇸🇪•• 2 4 11.2 2.8x 18 ✅ m7g.medium 🇸🇪• 1 4 11.8 2.7x 19 ✅ m8g.medium 🇩🇪•• 1 4 12.0 3.3x 20 ✅ m8g.medium 🇩🇪• 1 4 12.3 3.2x 21 ✅ t3a.medium 🇩🇪•• 2 4 12.8 2.5x 22 ✅ t3.medium 🇩🇪•• 2 4 13.9 2.5x 23 ✅ c8g.large 🇸🇪••• 2 4 15.3 4.1x ✅ Рекомендация spot для Hermes 1. Бюджетный winner: t3.small очень дешёво $4.6, но RAM только 2 GB. 2. Рабочий default: t3.medium 2 CPU / 4 GB — $10.5. 3. Graviton: m8g.medium — 4 GB RAM, несколько вариантов от $8.8, но 1 CPU. Ориентир on-demand для Stockholm в месяц: • t4g.small $12.6 • t4g.medium $25.2 Итог: 60 тестов · ✅ 23 · 🔻 26 · 🔴 11 (полный список в комментарии) ✅ passed · 🔻 failed · 🔴 no capacity #EC2 #Spot #AI #Agent

https://opensearch.9cld.com/

🆕 AWS Lambda MicroVMs = Lambda + Dockerfile + Firecracker TL;DR: Lambda Function: stateless → максимум 15 минут. Lambda MicroVM: stateful → максимум 8 часов. https://aws.amazon.com/blogs/aws/run-isolated-sandboxes-with-full-lifecycle-control-aws-lambda-introduces-microvms/ Идея — каждому юзеру, сессии или AI-агенту выдаём отдельную Firecracker MicroVM на время работы. Причём не "Lambda с Dockerfile", а stateful sandbox с lifecycle control: launch → suspend → resume → terminate Как собирается: 1. Код + Dockerfile (zip) → S3. 2. Lambda MicroVM запускает Dockerfile, поднимает приложение и делает снэпшот памяти и диска. 3. Каждый run-microvm стартует независимую Lambda MicroVM из сделанного снэпшота. 4. На каждую Lambda MicroVM выдаётся свой HTTPS endpoint. Что получаем: - VM-level isolation: отдельный kernel, memory space и disk state - быстрый старт и resume из snapshot - сохранение memory + disk state до 8 часов - HTTP/1.1, HTTP/2, gRPC, WebSockets и SSE - обязательная JWE-аутентификация на endpoint - Internet egress по умолчанию или VPC egress через network connector Платим за: - выбранный baseline - peak usage выше baseline - snapshot read/write operations - snapshot storage - data transfer При suspend биллинг лишь за storage. Размеры на старте: - baseline: 0.5–8 GB RAM и 0.25–4 vCPU - peak: до 32 GB RAM и 16 vCPU - disk: до 32 GB - пока только ARM64 - регионы: us-east-1, us-east-2, us-west-2, eu-west-1, ap-northeast-1 Для чего задумано: - AI/code execution sandboxes - Claude/agent sessions - browser IDE - Jupyter/data analytics - CI/CD workers - vulnerability scanning #Lambda

Тут если кто из Польши есть отличная возможность для вас Agentic Football Cup: Варшава, 21 июля AWS организует бесплатный 4-х часовой воркшоп в офисе Amazon (WAW13, Generation Park Z, Towarowa 28). https://agenticfootballcup.com/ - командная игра, призы и дальнейшее участие в лиге за приз - поездку на re:Invent! Что делать? Собираем команду из 5 AI-агентов. Они играют в футбол друг против друга в реальном времени. Без участия человека после старта матча. Что под капотом: → Amazon Bedrock + AgentCore + Strands Agents SDK → Multi-agent orchestration, real-time state management, tool use → Никакого предварительного опыта в AI/ML не нужно Зачем: 🏆 Каждая команда, завершившая воркшоп, проходит в глобальную виртуальную лигу. Победители группы едут на финал re:Invent 2026 в Лас-Вегас. Расписание: • 11:00 - открываем двери • 11:30 - 13:30 воркшоп и дружеские матчи • 13:30 - 14:30 отборочный турнир. • 14:30 - 15:00 финалы • 15:00 - 17:00 награждение, завершение. Места ограничены. Регистрация: https://awsagenticfootballcuppoland.splashthat.com/ LinkedIn: https://www.linkedin.com/posts/avraserg_aws-generativeai-aiagents-activity-7478765200871993344-tQsv/

In terraform plan we trust! #friday

Some absolutely incredible news to end the workweek with! 🤩 When it’s time for the renewal, instead of going through a stressful, high-stakes exam day at a testing center, you can now maintain your active AWS certification for an additional year simply by completing curated training and hands-on labs directly on AWS Skill Builder. 🚀 These labs are built and maintained by the exact same AWS experts who develop the services. It is such a beautiful way to keep your skills sharp and your credentials active through continuous learning! This amazing new option is currently in Open Beta. 🔗 Check your eligibility here: https://skillbuilder.aws/certification/recertification 📖 Read all the details in the new blog post: https://aws.amazon.com/blogs/training-and-certification/a-new-way-to-keep-your-aws-certification-current/ Keep building! ☁️

🆕 AWS Continuum 🎉 https://aws.amazon.com/blogs/security/introducing-aws-continuum-security-at-machine-speed/ Continuum for code vulnerabilities operates in four continuous phases. Discovery: Security teams tackle a backlog of vulnerabilities, and many are already using frontier models to find more. Continuum starts by ingesting that existing backlog and performing its own vulnerability scan of your environment. This creates a more comprehensive view of vulnerabilities and the associated attack paths. Prioritization: Continuum uses context to evaluate, enrich, and prioritize every finding. Is the affected component deployed, is it reachable, is it in a production path, and what would the business impact be if exploited? The result is an evidence-backed list of priorities, allowing Continuum and your team to focus on what’s most important. Validation: Continuum validates findings to surface false positives before they waste your team’s time. It contextualizes vulnerabilities against your environment. It then constructs working exploit examples in a sandboxed environment that provide concrete, reproducible evidence of the issue. Mitigation and remediation: Continuum assesses existing defenses around a validated issue, including blocking and compensating controls along with detection mechanisms. It then draws on its understanding of the codebase, context, and findings to recommend mitigation or remediation of the vulnerability with a network change, policy change, or code patch. The patch recommendation is validated using the same system that confirmed the vulnerability. It also provides blast radius visibility and rollback paths where feasible. #Continuum #security

EKS Rollback https://aws.amazon.com/blogs/containers/announcing-amazon-eks-rollback-for-safe-and-reliable-management-of-cluster-upgrades/ Немножко ограничений: • только N → N-1, нельзя сразу на несколько версий или несколько по очереди • только в течение 7 дней после upgrade • только если кластер был upgraded in-place, а не создан сразу на этой версии • etcd/resources/workloads/PV не откатываются • EKS add-ons не откатываются автоматически • Managed Node Groups надо откатывать отдельно • self-managed nodes — руками • Fargate worker node rollback не поддерживается • --force не обходит ограничения и не игнорирует PDB/NodePool disruption budgets в Auto Mode #EKS

Вышел релиз 0.34.1 SRE Learning Platform - крупнейшее обновление по Kubernetes за всю историю проекта: совместный курс CKA + CKAD для самостоятельного изучения, 25 новых практических лаб и 8 языков. Если готовитесь к CKA или CKAD - это для вас НОВОЕ: совместный курс CKA + CKAD 58 глав. Экзамены сильно пересекаются (рабочие нагрузки, сервисы, конфигурация, хранилища, наблюдаемость), поэтому общее ядро проходится один раз, а специфика каждого экзамена вынесена в отдельные части. Каждая глава помечена, к какому экзамену относится: CKA, CKAD или к обоим. • Часть 0 - фундамент для новичков (необязательная): сети, DNS, TLS, контейнеры, Linux, YAML и vim. Если базы нет - начинать лучше отсюда • Части 1-10 - программа экзаменов: от основ до troubleshooting и тактики на самом экзамене Курс ориентирован на актуальную версию экзаменов - Kubernetes v1.35 (программы CKA и CKAD 2025-2026). Доступен на 8 языках: русский, английский, испанский, французский, немецкий, грузинский, традиционный китайский и японский. НОВОЕ: 25 лаб (101-125) Составные лабы в экзаменационном стиле: несколько связанных заданий в одном окружении, автопроверка check_result и эталонные решения. Тоже на 8 языках. • 101-110 - основы: поды и Deployment, стратегии деплоя, Job/CronJob, планирование и HPA, ConfigMap/Secret, SecurityContext, multi-container, PV/PVC, пробы и логи, Service/Ingress/NetworkPolicy • 111-118 - администрирование: обновление кластера, бэкап и восстановление etcd, RBAC и CSR, CRD/Helm/Kustomize, сборка кластера с нуля, troubleshooting ресурсов, control plane и сертификатов • 119-122 - дрилы на скорость: JSONPath, сеть, RBAC, планирование • 123-125 - установка CNI с нуля, HA control plane из 3 нод, DNS и CoreDNS НОВОЕ: путеводители по экзаменам и глоссарий • Программа и лабы для CKA и для CKAD - официальные домены экзаменов с весами, разложенные по главам и лабам. Видно, куда вкладывать время: у CKA один только Troubleshooting это 30% • Глоссарий курса - все термины по главам со ссылками Улучшения: • В 44 главы добавлены ссылки на бесплатные сценарии Killercoda - практика прямо в браузере, без установки, рядом с нашей лабой. Наши лабы лучше подходят для подготовки к экзамену (составные задания, полноценный кластер с доступом на ноды, мок-экзамены под таймером), Killercoda - для быстрого старта и закрепления одной темы • В оглавлении курса появились разделы «Какие лабы выбрать» и «Что читать дальше» Платформа бесплатная и с открытым исходным кодом. Если она окажется полезной - буду рад звезде на GitHub https://github.com/ViktorUJ/cks Отличного настроения и пусть ваш прод живёт без падений! #Kubernetes #CKA #CKAD #SRE #DevOps #CloudNative #k8s

— Успеете до дедлайна? — Успеем, но дедлайн придётся перенести. #пятничное

без подписи

без подписи