---
tags: [infra, 51123, opensearch, fluent-bit, logging, worklog]
---

# 260318 51123 OpenSearch 샤드한도 로그적재 복구

## 관련 문서
- [51123 로그 적재 복구 워크플로우](../../workflow/51123_log_ingest_recovery_workflow.md)
- [51123 구IP active runtime 제거 1차](./260309_51123_구IP_active_runtime_제거_1차.md)

## 작업

- OpenSearch 연결 경로를 현재 운영 주소 `192.168.0.100:9200` 기준으로 다시 확인했습니다.
- 실제 적재 실패 원인이 `dataprepper-static` 샤드 문서 수 한도(`2147483519`) 도달임을 Fluent Bit와 OpenSearch 응답으로 확인했습니다.
- `/home/admin/robeing/fluent-bit/fluent-bit.conf`에서 출력 인덱스를 `dataprepper-static` 대신 `dataprepper-2026.03.18`로 바꾸고, 부팅을 막던 multiline 필터를 제거했습니다.
- `docker compose up -d --build --force-recreate fluent-bit`로 새 설정을 런타임에 반영했습니다.

## 확인된 사실

- Data Prepper 경유 `http -> 127.0.0.1:2021` 경로는 Fluent Bit 로그 기준 `HTTP 200` 응답은 있었지만, OpenSearch에 새 일자 인덱스가 생성되지 않았습니다.
- 직접 `es` 출력으로 전환한 뒤에는 새 인덱스가 실제로 생성됐고 문서 수가 증가했습니다.

## 검증

- `docker logs fluent-bit` 기준 `output:es:es.0` worker 시작을 확인했습니다.
- `curl -s http://192.168.0.100:9200/_cat/indices/dataprepper-2026.03.18?v` 결과 새 인덱스가 생성됐습니다.
- `curl -s http://192.168.0.100:9200/dataprepper-2026.03.18/_count` 결과 `count=22`를 확인했습니다.
- 기존 `dataprepper-static`는 여전히 `docs.count=2147483519` 상태로 남아 있어, 원인 인덱스 해소가 아니라 새 인덱스로 적재를 복구한 상태임을 분리해서 기록합니다.

## 한 줄 결론

- 51123 로그 적재 중단의 직접 원인은 `dataprepper-static` 샤드 포화였고, 현재는 새 일자 인덱스 `dataprepper-2026.03.18`로 적재가 다시 살아났습니다.