1. 漂移检测概述

1.1 什么是配置漂移

配置漂移（Configuration Drift）是指云基础设施的实际运行状态与基础设施即代码（IaC）中定义的期望状态之间逐渐产生偏差的现象。在理想情况下，Terraform 状态文件（terraform.tfstate）和配置文件（.tf 文件）共同构成了基础设施的“单一事实来源”。然而，在实际运维中，手动变更、临时修复、自动化脚本副作用等因素会导致实际资源属性偏离代码定义。

漂移并非一次性事件，而是一个渐进累积的过程。以下表格对比了“无漂移”与“有漂移”环境的关键差异：

1.2 漂移产生的根本原因

漂移的产生并非单一因素导致，而是由流程、工具和人员三个维度的缺陷共同引发。以下按影响范围从大到小列出主要根因：

1. 手动应急变更（占比最高）
   生产环境出现故障时，运维人员通过云控制台、CLI 或 API 直接修改资源属性（如调整安全组规则、修改实例类型），事后未同步回 Terraform 代码。这是最常见的漂移来源。
2. 非 IaC 工具的并发操作
   自动化脚本、配置管理工具（Ansible、Chef）、容器编排平台（Kubernetes Operator）或第三方监控工具直接修改云资源，绕过 Terraform 工作流。
3. 云服务商的后台自动修正
   部分云服务（如 AWS Auto Scaling、Azure Site Recovery）会自动替换不健康实例或调整资源规格，导致实际配置与 Terraform 定义不一致。
4. 团队协作与代码同步延迟
   多人同时操作同一 Terraform 状态文件，或分支合并时未正确处理状态锁，导致部分变更丢失或覆盖。
5. Terraform 版本升级与 provider 变更
   升级 Terraform 核心版本或 provider 版本后，资源属性的默认值、计算方式或 schema 发生变化，产生非预期的漂移。

1.3 漂移对基础设施即代码（IaC）的危害

配置漂移直接侵蚀 IaC 的核心价值——一致性、可重现性和自动化。其危害体现在以下四个层面：

• 破坏“单一事实来源”
  当实际状态与代码不一致时，Terraform 状态文件失去权威性。后续的 terraform apply 可能回滚或覆盖手动变更，导致服务中断。
• 降低故障恢复能力
  漂移后的环境无法通过“销毁重建”快速恢复。因为重建后的环境与漂移前的实际环境不一致，可能缺失关键配置（如安全组白名单、存储桶策略）。
• 增加安全合规风险
  漂移可能导致安全组过度开放、加密配置被移除、日志审计被关闭等安全漏洞。合规审计时，代码与实际配置的不一致会被判定为“不合规”。
• 阻碍自动化与 GitOps 落地
  自动化流水线依赖代码与状态的一致性。漂移会导致 CI/CD 中的 terraform plan 频繁报错，迫使团队手动干预，最终放弃自动化。

以下 SVG 图展示了配置漂移从产生到危害扩散的完整链路：