Essa palestra é um post-mortem técnico real de um cluster OpenSearch que entrou em flood stage por crescimento descontrolado de índices netflow e chegando a 876GB em dois índices e bloqueando todas as operações de escrita do ambiente. O cluster foi recuperado em menos de duas horas.
A narrativa cobre o incidente completo: identificação do problema, remoção do bloqueio read-only, correção do alias is_write_index, implementação da política ISM com retenção de 60 dias e correção do pipeline Data Prepper para injetar @timestamp via processor date — sem o qual a deleção por data não funcionava. O que não funcionou primeiro também entra: a tentativa inicial de forçar deleção direta falhou porque o alias de escrita apontava para o índice errado, o que custou tempo e é um erro comum que vale documentar.
A conexão com IA não é apêndice e é a tese central da palestra: workloads de LLMs e agentes em produção geram volumes de traces, métricas e logs muito superiores ao netflow desse case. Quem não implementar política de retenção antes de subir IA em produção vai enfrentar uma versão muito pior desse problema, com complexidade de recuperação proporcionalmente maior.
Sou Technology Manager e DPO na 4Linux, onde atuei diretamente nesse incidente em ambiente de cliente. A 4Linux opera infraestrutura e observabilidade para dezenas de empresas no Brasil, o que nos dá visibilidade sobre padrões de falha que times internos raramente documentam.