요약

  • Observability Pipelines는 고객 인프라 내부에서, 다운스트림 색인과 저장에 앞서 텔레메트리를 필터링, 샘플링, 중복 제거, 마스킹, 라우팅할 수 있다.
  • 경제성 판단 기준은 제거된 바이트의 비율이 아니다. 검증된 절감액이 Worker 운영, 규칙 거버넌스, 복구 비용, 그리고 재구성할 수 없는 증거의 예상 손실을 초과하는지가 기준이다.
  • 방어 가능한 배치는 보호 대상 이벤트 클래스를 보존하고, 모든 절감을 측정하며, 독립적인 복구 경로를 유지하고, 시간 제한 리플레이를 통해 향후 인시던트 및 감사 질문에 여전히 답할 수 있음을 입증해야 한다.

다운스트림 로그 색인에 있던 필터링 규칙 하나를, 데이터를 생성하는 시스템 곁에서 실행되는 Worker로 옮겨 보라. 다음 청구서는 줄어들 수 있다. 그러다 어느 인시던트에서 그 규칙에 맞지 않는 이벤트를 요구하게 된다. 그 이벤트는 색인에도, 아카이브에도, 분석가의 쿼리에도 도달하지 못했다. 절감은 실재하며, 빠진 사실도 실재한다.

이것이 Datadog Observability Pipelines의 전략적 중요성이다. Datadog는 고객 인프라 내에서 실행되어 로그, 메트릭, 트레이스를 처리하고 데이터가 해당 환경을 떠나기 전에 라우팅하는 Worker를 설명한다. 문서화된 구성은 볼륨 제어, 민감 데이터 마스킹, 이중 전송, 원시 로그 아카이빙, 메트릭 태그 거버넌스, 트레이스 샘플링을 다룬다. 이는 단순한 전송 기능이 아니라 제어 지점(control surface)의 위치를 바꾸는 것이다.

상업적 매력은 단순하다. 관측성과 보안 비용은 종종 이벤트 수, 바이트량, 색인 볼륨, 보존 기간, 높은 카디널리티 차원에 따라 늘어난다. 노이즈를 더 일찍 제거하면 여러 다운스트림 시스템에 동일한 저가치 데이터를 수집하게 하는 비용을 피할 수 있다. 반복적인 로그에서 메트릭을 생성하면 저장 공간의 일부만으로 추세를 보존할 수 있다. 내보내기 전 마스킹은 비밀과 개인 데이터의 확산도 줄일 수 있다.

그러나 프로세서의 의미론이 백분율 감축 목표가 부적절한 이유를 보여준다. Datadog의 Filter 문서는 일치하는 이벤트는 계속 진행되고 일치하지 않는 이벤트는 이후 프로세서나 목적지에 도달하기 전에 삭제된다고 명시한다. Sample 프로세서는 일치하는 로그나 트레이스의 설정된 비율을 보존하고 나머지는 삭제한다. Quota 프로세서는 일일 한도 이후 로그를 유지, 삭제 또는 우회시킬 수 있으며, 분산 카운트는 Worker 동기화 사이에 초과할 수 있다. 중복 제거는 Worker 로컬의 인메모리 LRU 캐시를 사용해 반복을 제거한다. 각 기능은 합리적일 수 있다. 그리고 각각은 미래에 무엇이 필요하지 않을지에 대한 서로 다른 주장을 한다.

그 주장의 소유자는 쉽게 가려진다. 조달 부서가 플랫폼을 승인할 수 있다. FinOps는 볼륨 감축을 요구할 수 있다. 보안 부서는 보존 정책을 정의한다. 서비스 팀은 자신의 시스템을 진단하는 희귀 이벤트가 무엇인지 안다. 법무 또는 감사 팀은 나중에 아무도 원래 쿼리에 넣지 않은 질문을 던질 수 있다. Datadog는 메커니즘을 제공하고 그 동작을 문서화한다. 그러나 그 문서는 고객의 규칙이 안전한지, 절감액이 순수 절감인지, 폐기된 이벤트에 미래 증거 가치가 없었는지를 증명하지 않는다.

따라서 올바른 반사실(counterfactual)은 "모든 것을 영원히 보존한다"가 아니라 통제된 대안이다. 구매자는 보호 클래스를 이중 전송하고, 쿼터 초과분을 오브젝트 스토리지로 보내고, 정의된 기간 동안 원시 스트림을 아카이브하거나, 보안 증거를 위한 독립 제어 경로를 유지할 수 있다. Datadog의 목적지 카탈로그에는 Datadog 서비스, 오브젝트 스토리지, Kafka, SIEM 시스템, OpenTelemetry 엔드포인트, 경쟁 관측성 플랫폼이 포함된다. 선택 가능성은 아키텍처 수준에 존재한다. 그것은 구매자가 보존된 사본을 검색하고 활용할 수 있을 때에만 실체가 된다.

운영 비용도 계산에 포함해야 한다. Worker는 중요한 데이터 경로에 있는 고객 운영 소프트웨어다. Datadog는 각 마이너 및 패치 릴리스마다, 최소한 월 단위로 갱신할 것을 권장한다. 색인 볼륨이 줄어도 용량, 버퍼링, 배포, 구성 검토, 롤백, 온콜 소유권은 사라지지 않는다. OpenTelemetry의 독립적인 Collector 가이드는 여기서 중요한 동일한 회복성 구분을 만든다. 인메모리 큐와 영속적인 write-ahead-log 기반 큐는 재시작 시 서로 다른 생존 보장을 제공한다.

그 결과는 측정 가능한 판단 규칙이다. 검증된 변동 비용 절감이 Worker 운영, 변경 거버넌스, 복구 테스트, 그리고 되찾을 수 없는 증거의 예상 비용을 초과할 때에만 상류 제어가 가치를 만든다. 이 주장은 반증 가능하다. 대표적인 인시던트와 감사 질문을 선정하고, 관련 이벤트 클래스를 보호하고, 보존 경로에서 시간 제한 리플레이를 실행하라. 팀이 합의된 완전성과 복구 시간 임계 내에서 필요한 사실을 재현하면서 절감이 지속된다면, 그 설계는 경제성을 입증한 것이다. 그렇지 못하다면 낮아진 청구서는 일부가 미래 조사자에게 리스크를 전가한 것이다.

사실, 추론, 미지의 것은 분리되어야 한다. 문서화된 프로세서가 데이터를 삭제, 샘플링, 제한, 중복 제거, 라우팅할 수 있다는 것은 사실이다. 이것이 증거 권한을 상류로 이동시킨다는 것은 추론이다. 본 분석에는 Datadog가 손실을 은폐한다거나 특정 고객이 증거를 파기했다는 주장은 전혀 없다. 미지의 항목에는 보편적 가격 책정, 고객별 절감액, 규칙 품질, 복구 성능, 특정 토폴로지에서 특정 Worker 버전이 어떻게 동작하는지가 포함된다. 이러한 미지의 항목은 승인 대상 밖이 아니라 승인 절차 안에 있어야 한다.

출처