Дрейф инфраструктуры

Дрейф инфраструктуры — это разрыв между инфраструктурой, которую объявляет ваш код, и инфраструктурой, которая существует на самом деле. Декларативные инструменты обещают, что истина лежит в файлах, и это обещание держится ровно до тех пор, пока каждое изменение проходит через файлы. Оно перестаёт держаться в первый же раз, когда кто-то руками расширил группу безопасности во время инцидента, управляемый сервис обновил за вас значение по умолчанию или ресурс создали из консоли, потому что в тот день конвейер был медленным. Дрейф опасен не столько тем, что среда неправильная, сколько тем, что неправильна запись о ней. Пересборка из объявленного состояния молча удаляет ручную правку, которую никто не записал, и инцидент, закрытый во вторник, возвращается в пятницу обычным прогоном применения. Аварийное восстановление наследует ту же беду в худшем виде: пересобрать вы можете объявленную среду, и если продакшен уехал, пересобранная среда — не продакшен. Ревью тоже вырождается, потому что рецензировать изменение файла, который больше не описывает реальность, — это театр. Обнаружение — это регулярное сравнение, а не разовая уборка. Большинство инструментов умеет строить план или различие против живого состояния; поставить это в расписание и оповещать на любой непустой результат — то, что превращает дрейф из археологии в маленькую ежедневную поправку. Согласование идёт в одну из двух сторон, и выбор должен быть осознанным: принять ручное изменение, записав его в код, или откатить, — и зафиксировать, что выбрали и почему. Профилактика в основном про доступ. Консоль только на чтение для людей в проде, изменения через конвейер и описанный аварийный путь, требующий последующей кодификации, закрывают ту петлю, которая и породила дрейф.