FinOps para startups: a sua primeira semana com o AAA Sentinel, da primeira conta ao ritual de segunda-feira

«Otimizamos custos quando crescermos.» É uma decisão razoável nos primeiros meses de uma startup: há produto para construir e a fatura da nuvem ainda é pequena. O problema é que os hábitos que não se criam no início custam muito mais depois, quando há centenas de recursos sem dono e ninguém se lembra para que servia cada um. Neste artigo mostramos o básico de FinOps que vale a pena desde o primeiro dia e como pô-lo a funcionar numa semana com o AAA Sentinel.

FinOps em dois minutos

FinOps é a prática de gerir o gasto na nuvem com dados e com responsáveis, tal como se gere qualquer outro gasto da empresa. Não se trata só de cortar: trata-se de saber em que se gasta, decidir se vale a pena e ter alguém que responda por cada rubrica. A FinOps Foundation organiza-o em três fases que se repetem em ciclo:

• Informar: ver quanto se gasta, em quê e quem gasta.
• Otimizar: eliminar o que sobra e ajustar o que está sobredimensionado.
• Operar: torná-lo hábito, com alertas, revisões periódicas e responsáveis.

Porque começar cedo

Enquanto a fatura é pequena, cada hábito custa pouco a implementar e evita problemas difíceis de desfazer depois:

• Etiquetar desde o primeiro recurso é quase gratuito; etiquetar centenas de recursos herdados é um projeto.
• Os recursos esquecidos (discos desanexados, IPs sem uso, snapshots de discos que já não existem) acumulam-se em silêncio e cada um fatura todos os meses.
• Detetar um pico de gasto no dia em que aparece é muito mais barato do que descobri-lo na fatura do mês seguinte.
• Quando um investidor perguntar quanto custa a infraestrutura e porquê, terá a resposta com dados.

Como o AAA Sentinel ajuda: o teste de 30 dias

Ao registar-se tem 30 dias com o plano Pro completo, sem cartão de crédito. É tempo de sobra para montar tudo o que este artigo descreve:

• Até 5 contas cloud de AWS, Azure ou Google Cloud, ligadas só de leitura.
• Scan automático diário e scans manuais sempre que precisar.
• Todas as regras de deteção de desperdício, o resumo de economia, as recomendações de reservas e de rightsizing e o simulador.
• Alertas por email, Slack, Microsoft Teams ou webhook, e o resumo periódico por email.

Caso prático: a primeira semana da ACME

A ACME é uma startup fictícia com uma única conta AWS e uma pessoa, a CTO, que trata da infraestrutura. Este é o plano que segue na primeira semana com o AAA Sentinel, e o que vamos percorrer passo a passo:

Passo 1 (dia 1): ligar a conta só de leitura

Em Minhas contas cloud → Conectar conta, escolha o provedor em «Qual provedor cloud?». Com a AWS, o assistente tem três passos:

• «Passo 1 — Criar a função IAM»: carregue em «Abrir CloudFormation na AWS». Abre-se a consola com a stack FinOpsSentinelConnector já configurada, incluindo o External ID da sua organização. Marque a caixa em que a AWS pede para confirmar que a stack cria recursos de IAM e crie-a. O utilizador AWS que a cria tem de poder criar funções IAM. Depois, carregue em «Criei a função».
• «Passo 2 — Copiar o ARN da função»: quando a stack terminar, copie o ARN da função no separador Outputs do CloudFormation e carregue em «Tenho o ARN».
• «Passo 3 — Conectar a conta»: cole o ARN, escreva o «Nome da conta» e carregue em «Conectar conta».

Se a sua nuvem é Azure ou Google Cloud

O assistente é equivalente, também só de leitura:

• Azure: «Passo 1 — Criar o principal de serviço» com o papel Reader para inventário e Cost Management Reader para custos; depois cola as credenciais e dá nome à conta.
• Google Cloud: «Passo 1 — Criar uma conta de serviço» com papéis de leitura e «Passo 2 — Carregar conta de serviço» com o ficheiro JSON. O «Passo 3 — Custos reais (opcional)» liga a exportação de faturação para o BigQuery, se a tiver.

Passo 2: o primeiro scan

Com a conta ligada, volte a Minhas contas cloud e carregue em «Escanear». O scan pode demorar até 2 minutos. A partir daí:

• Todos os dias é feito um scan automático de madrugada (às 04:00 UTC), por isso as descobertas mantêm-se atualizadas sem fazer nada.
• Pode lançar scans manuais quando mudar alguma coisa, até 2 por dia por conta.
• O que corrigir na nuvem desaparece das descobertas no scan seguinte.

Passo 3 (dia 2): ler Descobertas ativas

Descobertas ativas é a lista de tudo o que o scan encontrou. Cada descoberta indica a severidade, o recurso, a conta e a «Poupança/mês» estimada; ao abri-la verá a «Recomendação» com o que fazer e porquê. O essencial é decidir, não apenas ler. Cada descoberta tem um estado:

• «Aberto»: à espera de decisão.
• «Aceite»: vai agir sobre ela.
• «Descartado»: reviu-a e é intencional; por exemplo, um disco que guarda de propósito.
• «Resolvido»: já a corrigiu.

O que a ACME encontrou

Este é o primeiro scan da ACME. Os valores são um exemplo calculado com preços de tabela aproximados de us-east-1; na sua conta, a plataforma mostra a sua própria estimativa em «Poupança/mês»:

• As três primeiras linhas são desperdício: cerca de 51 US$/mês eliminados numa tarde. A ACME marca-as como «Aceite» e apaga-as.
• A instância subutilizada é afinal um ambiente de testes de um cliente que já saiu. É terminada: mais 121 US$/mês.
• Os recursos sem etiquetas não poupam nada por si, mas são aqueles cujo dono ninguém conhece. A regra pede pelo menos duas de Environment, Project, Owner, CostCenter ou Team.

Passo 4 (dia 3): o Resumo de economia

O Resumo de economia reúne todo o potencial da conta: a «Economia total/mês» e a «Economia anual», o «Detalhamento das economias potenciais» e as «Principais ações rápidas», as otimizações com maior impacto imediato. Daqui chega a mais três análises, do plano Pro e incluídas no teste:

• Instâncias Reservadas: que instâncias estáveis convém reservar a 1 ou 3 anos. Hoje cobre instâncias EC2 e bases de dados RDS da AWS.
• Rightsizing: instâncias EC2 que podem descer de tamanho segundo o uso real.
• Simulador de economia: cenários como desligar desenvolvimento à noite ou mover dados do S3 para o Glacier, para calcular a poupança antes de agir.

Passo 5 (dia 4): alertas e resumo semanal

Para não ter de entrar para verificar, escolha em Alertas → Canais de alerta onde quer receber os avisos: email, Slack, Microsoft Teams ou um webhook. Depois reveja dois blocos:

• «Limiares de detecção»: por omissão, avisa se o gasto subir 20 % ou mais e não alerta se o gasto total estiver abaixo de 5 US$. Também pode escolher se quer aviso por cada nova descoberta crítica ou alta.
• «Resumo periódico»: vem desativado. Escolha «Semanal», o «Dia da semana» e o «Horário de envio (UTC)». Receberá por email, para cada conta, o custo mensal, o número de descobertas, a poupança potencial, os alertas do período e os scans concluídos.

O ritual de segunda-feira: 30 minutos

Com o resumo semanal a chegar na segunda-feira logo de manhã, a revisão cabe em meia hora:

• Leia o resumo: o custo mensal mudou? Houve alertas na semana?
• Abra Descobertas ativas e decida cada descoberta nova: aceitar, descartar ou resolver. Não deixe nenhuma «Aberto» sem motivo.
• Escolha uma única ação para a semana, a de maior «Poupança/mês» ou a mais fácil, e atribua-lhe um responsável.
• Confirme que os recursos novos chegam etiquetados. Se aparecerem em «Recursos sem tags», fale com quem os criou.

Quando passar a um plano pago

Antes de o teste terminar, decida se quer continuar a fazer scans. É isto que muda entre os dois planos (preços mensais, impostos incluídos):

• O Pro chega enquanto uma só pessoa gerir a nuvem: não inclui membros de equipa.
• O Business faz sentido quando quer convidar a equipa com papéis (finanças, aprovadores, leitura) ou que o Agente IA execute ações aprovadas, como desligar ambientes de desenvolvimento à noite.

O que ainda não faz

Para saber o que esperar:

• Não gere orçamentos da nuvem. Para um teto mensal com aviso, use os orçamentos do seu provedor (AWS Budgets, orçamentos do Azure ou do Google Cloud) e deixe ao AAA Sentinel os picos e o desperdício.
• As recomendações de reservas cobrem EC2 e RDS da AWS; não recomenda Savings Plans nem reservas do Azure ou do Google Cloud.
• Não analisa clusters de Kubernetes.
• A deteção de anomalias por serviço e a repartição de custos por equipa fazem parte do plano Business.

Checklist da primeira semana

Com isto feito, terá o essencial de FinOps a funcionar antes de a fatura ser um problema:

• Primeira conta ligada só de leitura e primeiro scan concluído.
• Todas as descobertas com estado: aceite, descartada ou resolvida.
• Desperdício eliminado e primeira ação de rightsizing decidida.
• Canal de alertas configurado e limiares revistos.
• Resumo periódico semanal ativado para segunda-feira de manhã.
• Etiquetas Environment e Owner em todos os recursos novos.
• Decisão sobre o plano tomada antes do fim do teste.