2. 配置漂移核心概念
配置漂移（Configuration Drift）是基础设施与应用程序从已知、已记录的基准状态逐渐偏离的现象。理解其核心概念是构建自动化证据报告的基础。本章将逐一拆解基准配置、当前配置、漂移检测、漂移容忍度与漂移严重级别这五个关键要素。
2.1 基准配置（Baseline Configuration）
基准配置是经过审批、测试并记录在案的标准配置状态。它作为所有后续比较的“锚点”，通常来源于版本控制系统（如 Git）中的声明式配置文件（Terraform、Ansible Playbook、Kubernetes Manifest）或配置管理数据库（CMDB）。
| 特性 | 说明 |
|---|---|
| 来源 | IaC 代码仓库、黄金镜像、合规策略模板 |
| 形式 | JSON/YAML 文件、数据库快照、属性键值对 |
| 版本化 | 必须关联版本号或 Commit ID，支持回滚与审计 |
| 不可变性 | 基准配置在检测周期内应视为只读参考，变更需走审批流程 |
实践要点：基准配置不应手动修改。任何对基准的调整都应通过 CI/CD 管道重新部署，并生成新的基准版本号。
2.2 当前配置（Current Configuration）
当前配置是目标系统在某一时刻实际运行的配置状态。它可能因手动修复、临时补丁、自动缩放事件或恶意篡改而与基准产生差异。采集当前配置是漂移检测的第一步。
- 采集方式：通过 Agent 轮询、SSH 命令执行、云 API 查询或配置审计工具（如 Osquery、InSpec）实时抓取。
- 数据范围：包括但不限于文件内容、软件包版本、内核参数、防火墙规则、服务状态。
- 时间戳：每次采集必须附带精确时间戳，用于构建漂移时间线。
2.3 漂移检测（Drift Detection）
漂移检测是将当前配置与基准配置进行逐项对比，识别差异的过程。自动化检测工具通常采用“期望状态”与“实际状态”的差异分析算法。
检测流程：
- 加载基准配置（从 Git 或 CMDB 读取）。
- 采集当前配置（通过 Agent 或 API）。
- 执行属性级对比（忽略顺序，只比较键值对）。
- 输出差异列表（新增、删除、修改的属性）。
- 标记漂移状态（合规 / 漂移 / 未知）。
2.4 漂移容忍度（Drift Tolerance）
并非所有漂移都需要立即修复。漂移容忍度定义了系统允许偏离基准的最大范围，用于过滤掉无害或预期的临时变化，避免告警风暴。
| 容忍度类型 | 示例 | 适用场景 |
|---|---|---|
| 属性级容忍 | 允许 /tmp/cache 目录大小波动 ±10% | 临时文件、日志轮转 |
| 时间级容忍 | 允许配置在 30 分钟内自动恢复 | 自动伸缩组实例初始化 |
| 范围级容忍 | 允许内核参数 net.core.somaxconn 在 1024~4096 之间 | 性能调优实验 |
| 忽略列表 | 忽略 /etc/hosts 中动态 DNS 记录 | 容器调度写入的临时条目 |
注意：容忍度不应被滥用为“掩盖问题”的手段。每个容忍规则必须附带业务理由和审批记录，并在漂移报告中明确标记为“已容忍”。
2.5 漂移严重级别（Drift Severity）
漂移严重级别用于对检测到的差异进行优先级排序，帮助运维团队快速聚焦高风险变更。通常采用三级或五级分类体系。
2.6 概念关系总结
五个核心概念构成一个闭环治理模型：基准配置作为起点，当前配置作为实时快照，漂移检测执行差异计算，漂移容忍度过滤无害变化，漂移严重级别驱动响应策略。自动化证据报告正是基于这一模型，将原始差异数据转化为可审计、可追溯、可决策的结构化文档。
自动化报告关键字段映射：
- 基准版本 → 报告中的“期望状态”列
- 当前值 → 报告中的“实际状态”列
- 差异详情 → 报告中的“变更属性”行
- 容忍标记 → 报告中的“是否忽略”标识
- 严重级别 → 报告中的“优先级”标签与颜色