10장. 안티패턴 모음 — 클러스터를 무너뜨리는 습관들

Elasticsearch는 강력하지만, RDB의 직관을 그대로 가져오면 클러스터가 무너집니다. 운영 현장에서 반복 관찰되는 안티패턴을 "왜 위험한가 → 어떤 증상이 나오는가 → 어떻게 고치는가" 순서로 정리합니다.

10.1 매핑 폭발 — dynamic: true를 방치하기

기본값(dynamic: true)에서 처음 보는 필드는 자동으로 매핑에 추가됩니다. 개발 초반에는 편하지만, 필드 이름이 동적으로 만들어지는 데이터(사용자 ID를 키로 쓰는 JSON 등)가 들어오는 순간 매핑이 통제 불능으로 불어납니다. 이것이 매핑 폭발(mapping explosion)입니다.

PUT /my-index
{
  "mappings": {
    "dynamic": "strict",
    "properties": {
      "user_id":    { "type": "keyword" },
      "@timestamp": { "type": "date" },
      "message":    { "type": "text" }
    }
  }
}

10.2 text와 keyword를 혼동하기

같은 문자열이라도 두 타입은 완전히 다른 일을 합니다. status 필드를 text로만 잡으면 정렬·집계·정확 일치가 전부 깨집니다.

(*) fielddata: true로 강제할 수 있으나 heap 폭주 위험 때문에 금지 수준으로 비권장.

// ✅ 처방: multi-field — 하나의 값을 두 방식으로 색인
{
  "status": {
    "type": "text",                          // 전문 검색용
    "fields": {
      "keyword": { "type": "keyword", "ignore_above": 256 }   // 정렬·집계·정확 일치용
    }
  }
}

10.3 쿼리 안티패턴 — deep pagination과 leading wildcard

10.4 Oversharding — 작은 shard 수만 개

"인덱스마다 기본 5 shard니까 괜찮겠지"로 일별 인덱스를 몇 달 쌓으면 shard 수천~수만 개가 됩니다. shard 하나하나는 데이터가 없어도 고정 비용(Lucene IndexReader, 파일 핸들, heap 내 segment 메타데이터, cluster state 항목)을 차지합니다.

10.5 그 밖의 함정들 — replica, heap, update, 단건 INSERT

# update 남발의 증상 확인: deleted가 active의 몇 배인가?
GET /_cat/indices?v&h=index,docs.count,docs.deleted

index      docs.count   docs.deleted
my-index   100000       850000    ← 경고: deleted가 8.5배

# 대량 변경의 정석: reindex + alias 스왑 (무중단)
POST /_reindex
{ "source": { "index": "old" }, "dest": { "index": "new" } }

POST /_aliases
{ "actions": [
  { "remove": { "index": "old", "alias": "current" } },
  { "add":    { "index": "new", "alias": "current" } }
]}

10.6 한눈에 보는 안티패턴 처방전

✍️ 이해도 체크