- Elasticsearch stocke des documents JSON dans des index, recherchables en quasi temps réel (index inversé).
- Un index est découpé en shards primaires (répartition) et réplicas (haute disponibilité, lecture) ; état du cluster vert/jaune/rouge (jaune = réplicas non alloués, rouge = shard primaire indisponible).
- Mapping : types des champs (
keyword pour filtrer/agréger, text pour la recherche plein texte, date, ip…). Le schéma ECS (Elastic Common Schema) normalise les noms : host.name, source.ip, event.action. - Data streams pour les données horodatées (logs, métriques), découpés en index de sauvegarde.
- ILM (Index Lifecycle Management) : phases hot → warm → cold → frozen → suppression, avec rollover par taille ou âge.
- Rôles des nœuds : master, data (hot/warm/cold), ingest, coordination ; snapshots vers un dépôt (S3, Azure Blob) pour la sauvegarde.
GET _cluster/health
GET _cat/indices/logs-*?v&s=store.size:desc
GET _cat/shards?v&h=index,shard,prirep,state,unassigned.reason