Elasticsearch

Поток событий для security analytics пишем сюда же: шифрование канала, RBAC, ключи API из коробки. Шарды и репликацию проектировали под наш объём, на чужом стенде цифра врала. Эксплуатация кластера — отдельная ставка в команде, зато не плодим SIEM ради полнотекста по алертам.

На стенде всё летало, в проде упёрлись в репликацию — пилот по нашей нагрузке обязателен, иначе цифра с лендинга врёт. Зато полнотекст и kNN в одном месте. Elastic Cloud из России не оформляли, крутим self-managed.

Взял Serverless, чтобы не держать ноды, а нужного куска API там просто нет. Для узкого поискового прототипа ещё терпимо, для привычного кластерного сценария откатился на Hosted и заново считал стоимость — облако не сведёшь к одной цифре.

Сравнил три модели: свои ноды слишком много дежурства, Hosted без профиля нагрузки в цифру не свести, Serverless отрезал нужные API. Оформление Elastic Cloud из России публично не подтвердили, пилот закрыли на железе в колокейшене. Для короткого прототипа Serverless ещё живой, для нашего контура — нет.

Логи, трейсы и кусок security-аналитики у нас в Elasticsearch, по событиям удобно копать. Self-managed сам себя не пасёт: маппинги, шарды и окна обновлений планируем заранее, иначе через квартал начинается зоопарк.

Справку продукта ищет гибридом: обычный текст и семантика в одном индексе, ходим через официальный Java-клиент и REST. Self-managed Basic на трёх нодах тянет, RBAC и ключи включили в первый же день. Отдельный векторный сервис не поднимали — незачем.

Каталожный поиск собрали на Elasticsearch, не плодя отдельные движки под текст и под векторы. Гибрид и семантику крутим через тот же REST и официальный Python-клиент, Basic на своём железе пока хватает.