Skip to content

revert: dev ES url 을 https 로 원복 — ES 는 평문 요청을 받지 않음

변재혁 requested to merge feature/DOP-AI_ES_https_원복 into develop

http 전환 검증 결과 ES 가 평문을 거부하는 것으로 확정돼 원복한다. url 값은 변경 전 원본(e85c449e)과 바이트 단위로 동일하다.

측정 결과 (dev, RS 585d4c65f8, 2026-09-10 15:59~16:00):

Elasticsearch verify topology failed  latency_ms=123
  error_type=RemoteProtocolError
  error=Server disconnected without sending a response.
  request=GET http://...-es-http...:9200/_resolve/index/dop-ai-agent-attachment

delete knowledge failed x5 (knowledge_id=19751/20401/23901) 동일 에러
  latency_ms=14~199

TLS 전용 포트에 평문을 보낸 증상이다 — TCP 는 연결되지만 ES 의 TLS 리스너가 비 TLS 바이트를 받고 HTTP 응답 없이 연결을 끊는다. 지연이 14~199ms 로 짧아 타임아웃/DNS 문제가 아니라 연결 직후 절단임이 확인된다.

코드·호스트·포트·인덱스 고정에 스킴만 https→http 로 바꾼 A/B 에서 24h 연속 성공이 100% 실패로 뒤집혔으므로 원인은 스킴으로 특정된다. ECK 가 HTTP 레이어 TLS 를 켜 둔 상태이며, "사내 쿠버는 서비스 간 http 통신이라 https 는 무의미"라는 권고는 이 ES 클러스터에는 적용되지 않는다.

따라서 보안감사 #2(ES TLS 인증서 검증 비활성화)는 오탐이 아니다. 후속 조치는 http 전환이 아니라 ECK 가 이미 발급해 둔 CA (dop-ai-elasticsearch-es-http-certs-public 의 ca.crt)를 마운트해 verify 를 켜는 방향이다.

회귀: uv run pytest -q → 708 passed. 주의: dev 전용. config_stg.yml / config_prod.yml 은 원래대로 무변경.

Co-Authored-By: Claude Opus 5 (1M context) noreply@anthropic.com

Merge request reports