IaC中的SLI：基础设施即代码的可观测性挑战与埋点位置
将可观测性引入基础设施即代码（IaC）并非简单地在代码中插入日志语句。IaC的声明式、幂等性和自动化执行特性，决定了其SLI（服务等级指标）的采集、聚合与解读方式与传统应用监控存在本质差异。本章聚焦于IaC可观测性的核心挑战，并精确定义SLI埋点在IaC生命周期中的具体位置。
2.1 IaC可观测性的三大核心挑战
传统监控关注“服务是否在线”，而IaC可观测性需要回答“基础设施状态是否与代码意图一致”。这带来了以下独特挑战：
| 挑战维度 | 传统应用监控 | IaC可观测性 |
|---|---|---|
| 执行模式 | 持续运行，指标连续采集 | 离散执行，仅在计划/应用/销毁时产生数据 |
| 状态判定 | 基于实时健康检查（如HTTP 200） | 基于期望状态与当前状态的差异比对（Drift Detection） |
| 数据粒度 | 请求级、进程级、系统级 | 资源级、变更级、代码提交级 |
| 故障模式 | 服务降级、超时、错误率上升 | 配置漂移、执行失败、状态不一致、幂等性破坏 |
关键认知： IaC的SLI不能直接复用“可用性=99.9%”这类指标。我们需要定义“基础设施状态与代码期望状态的一致性比率”以及“变更执行的成功率与时效性”。
2.2 IaC生命周期中的SLI埋点位置
为了全面捕获IaC的健康状况，SLI埋点必须贯穿整个IaC生命周期。下图展示了从代码提交到基础设施状态收敛的完整流程，并标注了关键的埋点位置。
2.3 各阶段SLI埋点详解
每个埋点位置对应一组特定的SLI，这些指标共同构成了IaC的可观测性基线。
2.3.1 代码提交阶段（Source of Truth）
- 提交频率（Commit Frequency）：衡量团队对基础设施变更的活跃度。过高可能意味着缺乏规划，过低可能意味着变更积压。
- 变更大小（Change Size）：每次提交涉及的文件数或资源数。小批量变更是降低风险的关键实践。
- 分支存活时间（Branch Age）：分支从创建到合并的时间。长寿命分支增加了合并冲突和漂移的风险。
2.3.2 CI验证阶段（Quality Gate）
- 验证通过率（Validation Pass Rate）：CI流水线中语法检查、单元测试、安全扫描的通过比例。
- 验证时长（Validation Duration）：从提交到验证完成的时间。直接影响开发者的反馈循环。
- 策略合规检查（Policy Compliance）：代码是否符合组织定义的标签策略、安全组规则、成本限制等。
2.3.3 计划阶段（Plan & Diff）
- 计划执行时长（Plan Duration）：Terraform Plan或Pulumi Preview的执行时间。过长可能表明状态文件过大或Provider性能问题。
- 资源变更数量（Resource Change Count）：计划中显示的新增、修改、删除的资源数量。用于评估变更影响范围。
- 漂移检测结果（Drift Detection Result）：计划阶段发现的、与上次应用状态不一致的资源数量。这是IaC特有的核心SLI。
2.3.4 应用阶段（Execution & Convergence）
- 应用成功率（Apply Success Rate）：基础设施变更成功执行的比率。失败可能源于权限、配额、依赖冲突或Provider错误。
- 应用时长（Apply Duration）：从开始应用到状态收敛的总时间。用于衡量基础设施交付速度。
- 回滚触发率（Rollback Trigger Rate）：因应用失败或后续检测到漂移而触发回滚的频率。
2.4 持续状态监测：漂移检测SLI
IaC的独特之处在于，即使应用成功，基础设施也可能随时间发生漂移（手动修改、自动缩放、资源老化等）。因此，持续状态监测是IaC可观测性的闭环。
实践建议： 将漂移检测作为独立的SLI进行监控。设置定期扫描（例如每15分钟一次），并记录每次扫描的漂移资源数量、漂移类型（配置漂移 vs. 资源缺失）以及漂移修复时长。
漂移检测SLI的关键指标包括：
- 漂移检测覆盖率：被定期扫描的资源占全部IaC管理资源的比例。
- 漂移发现到修复时间（MTTD - Mean Time to Detect & Repair）：从漂移发生到通过IaC代码修复并重新应用的时间。
- 漂移严重程度分布：将漂移分为低（标签变更）、中（安全组规则变更）、高（实例类型或网络配置变更）等级。
2.5 埋点数据采集架构要点
为了有效采集上述SLI，IaC工具链需要与可观测性平台深度集成。以下是推荐的采集架构原则：
| 组件 | 职责 | 输出数据 |
|---|---|---|
| IaC Runner | 执行 Plan/Apply 命令，捕获标准输出和退出码 | 执行日志、JSON格式的变更摘要、耗时指标 |
| CI/CD 平台 | 触发流水线，记录阶段状态 | 流水线ID、阶段通过/失败、持续时间 |
| 状态存储后端 | 存储 Terraform State 或 Pulumi Checkpoint | 资源版本号、上次应用时间、序列化状态 |
| 漂移检测器 | 定期执行计划并与上次状态对比 | 漂移资源列表、差异详情、检测时间戳 |
| 可观测性后端 | 接收并存储指标、日志、事件 | Prometheus Metrics / OpenTelemetry Traces / 结构化日志 |
避坑指南： 不要将所有IaC执行日志直接推送到可观测性平台。应提取关键字段（如资源类型、操作类型、错误码、耗时）形成结构化指标，避免高基数标签（如将每个资源ARN作为标签）导致性能问题。
通过在本节定义的埋点位置部署SLI采集，SRE团队能够从“基础设施是否运行”深入到“基础设施是否与代码意图一致”，从而真正实现IaC的可观测性闭环。