「漂移检测与收敛」

期望状态（代码+state）      实际状态（云端）          drift
instance_type = t3.micro    instance_type = t3.large  ✗ 属性被改
configmap 定义了 3 个 key    只剩 1 个 key            ✗ 被删
安全组放行 80/443           多放行了 22               ✗ 被加
整个 EC2 不存在              存在（手工建的）          ✗ 游离资源

# 默认就刷新并对比，输出差异
terraform plan

# 只看刷新与差异，不进入计划生成细节
terraform plan -refresh-only

# 差异审计退出码：0=无差异 1=有差异 2=错误
terraform plan -detailed-exitcode
echo $?

#!/bin/bash
set -e
terraform init -backend-config=$ENV.backend.tfvars

# 只做差异审计，不 apply
terraform plan -detailed-exitcode -out=plan.bin
exitcode=$?

if [ $exitcode -eq 1 ]; then
  echo "::warning::检测到配置差异（可能为漂移），请人工确认"
  exit 0   # 审计阶段不阻断，仅告警
fi

# 扫描当前配置声明的资源是否与云端一致
driftctl scan

# 指定云平台 profile 与区域
driftctl scan --from aws+tf --region ap-northeast-1

# 只输出 JSON 报告
driftctl scan --output json://- > drift.json

Found 3 resource(s)
 - 2 managed by IaC (Terraform)
 - 1 not managed by Terraform
   1 resource(s) drifted

Unmanaged resources:
  - aws_security_group sg-xxxx (created out of band)

# 伪代码：定时漂移检测与收敛
schedule: "0 3 * * *"        # 每天凌晨
steps:
  - terraform plan -detailed-exitcode
  - if drift: 生成差异报告并通知
  - approve（人工/自动门禁）
  - terraform apply
  - 复核 plan 无新漂移

#!/bin/bash
# 合规扫描：任何漂移都生成违规记录
terraform plan -detailed-exitcode >/tmp/plan.txt
if [ $? -eq 1 ]; then
  echo "DRIFT detected at $(date)" >> compliance-drift.log
  cat /tmp/plan.txt
  exit 1   # 有漂移即不合规
fi

# policy/drift.rego
package main

deny[msg] {
  unmanaged := input.unmanaged[_]
  msg := sprintf("未纳管资源: %v", [unmanaged.id])
}

定时扫描 → 差异报告 → 分级告警 → 人/自动决策 → 收敛 apply → 复扫确认

# crontab：每天 03:00 全量扫描，每周一 04:00 收敛低风险环境
0 3 * * *  /usr/local/bin/terraform-drift-scan --env prod
0 4 * * 1  /usr/local/bin/terraform-converge-lowrisk --env dev

#!/bin/bash
set -e
# 只对允许自动收敛的目录执行
cd "$ENV_DIR"

terraform plan -detailed-exitcode -out=plan.bin || exitcode=$?

# 有差异且非豁免 → 先记录再走审批
if [ "${exitcode:-0}" -eq 1 ]; then
  echo "drift: $(date) $ENV_DIR" >> /var/log/drift.log
  if grep -q "$ENV_DIR" /etc/terraform/auto-approve.list; then
    terraform apply -auto-approve plan.bin
  else
    echo "需人工审批，跳过收敛"
    exit 1
  fi
fi