akelsey

Как это понимаю я (почти перевод документации):
Данные могут лежать в разных индексах разных нодах.
При поступлении запроса (поискового) есть две фазы:
"scatter" - когда нода координационная знает у кого эти данные есть и она их ей отправляет (конкретной ноде где данные размещены)
"gather" - разрозненную информацию полученную с разных нод координационная нода аггрегирует в единый ответ и отдает тому кто её запросил.
Явной роли "coordination" задать нельзя, таковой нодой является любая нода у которой не задан роль в "node.roles". (либо мастер нода)

Codec plugins
CEF codec for Logstash

/usr/share/logstash/vendor/bundle/jruby/2.5.0/gems/logstash-codec-cef-6.0.1-java

grep cs4Label * -iR
lib/logstash/codecs/cef.rb: "cs4Label" => "deviceCustomString4Label",