漂移检测是什么
组合三种视角做漂移巡检：IaC 视角（terraform plan -refresh-only 看真实资源与状态差异）、集群与 GitOps 视角（Argo CD、Flux 的 out-of-sync 状态与自动修复策略）、云厂商合规视角（AWS Config、Azure Policy 等持续合规评估）。漂移报告要有处置结果字段——修复、回写或豁免，否则报告越堆越多没人处理。
基本信息
| IaC 视角 | terraform plan -refresh-only 看真实资源与状态差异 |
|---|---|
| GitOps 视角 | Argo CD/Flux 的 out-of-sync 状态与自动修复策略 |
| 云侧视角 | AWS Config、Azure Policy 等持续合规评估 |
| 闭环 | 报告带处置结果：修复、回写或豁免 |
| 收敛 | 明确哪些资源允许自动收敛，哪些只告警 |
典型使用场景
- 日常巡检：每日看 GitOps 同步状态与告警
- 周度核对：refresh-only 出差异报告
- 月度合规：云配置合规报告加人工复核
- 应急回写：热修过的资源把修复回写到代码
- 豁免登记：确认合理的差异记入豁免清单
- 收敛配置：允许自动收敛的资源类型显式声明
巡检节奏示例
巡检节奏示例
每日：GitOps 同步状态巡检，异常告警到值班
每周：terraform plan -refresh-only 出差异报告
每月：云配置合规报告 + 人工复核
每条差异标注处置：修复、回写到代码或登记豁免三种视角读法
| 视角 | 手段 | 回答的问题 |
|---|---|---|
| IaC | refresh-only 计划 | 真实资源与状态是否一致 |
| GitOps | 同步状态与对比 | 集群实际与 Git 声明是否一致 |
| 云侧 | 持续合规评估 | 账号配置是否符合基线 |
| 处置 | 报告中的结论字段 | 修复、回写还是豁免 |
漂移报告要有「处置结果」字段：修复、回写或豁免，避免重复出现。
自动收敛先小范围：评估与应急修复的冲突，避免把有意改动覆盖掉。
漂移是信号不是罪证：先弄清为什么改，再决定回写代码还是纠正现场。
运营细节
- 告警噪音治理：批量漂移合并成一条，避免逐条轰炸值班
- 报告可下钻：字段与具体资源路径对齐，修复时直接定位