Где именно Elasticsearch хранит логи?

Elasticsearch хранит логи (документы) в индексах. Индекс делится на шарды (шарды могут быть реплицированы), которые физически хранятся на узлах кластера. Каждый шард представляет собой экземпляр поискового движка Apache Lucene, который сохраняет данные на диске в виде сегментов.

• Индекс: Логические контейнеры для документов.
• Шард: Физическое разделение индекса, которое содержит подмножество документов.
• Реплика: Копия шарда, обеспечивающая высокую доступность и отказоустойчивость.
• Сегмент: Неизменяемая структура данных на диске внутри шарда, которая содержит инвертированный индекс и данные документов.

Физическое расположение сегментов данных зависит от настроек Elasticsearch и операционной системы. Обычно это каталог, заданный параметром path.data в файле конфигурации elasticsearch.yml.

Например:

# elasticsearch.yml
# Путь к каталогу, где хранятся данные индексов (шарды/сегменты)
path.data: /var/lib/elasticsearch

Внутри этого каталога Elasticsearch создает подкаталоги для каждого узла, индекса и шарда, где и располагаются файлы сегментов Lucene (например, .cfs, .tim, .doc, .nvd, .nvm и т.д.).