配置基线与漂移核查是什么
配置基线是经过确认的配置状态快照，用于变更前后对比、审计核查与重装恢复。当自动发现的实际配置与基线不一致时，说明存在配置漂移。基线的价值不在于存一份文件，而在于提供比较的参照：没有基线，配置改动只能靠记忆与经验判断是否正常。
基本信息
| 定义 | 经过评审确认的配置状态快照 |
|---|---|
| 用途 | 变更对比、审计核查、故障重装与恢复 |
| 维护方式 | 变更后更新基线，并定期做差异核查 |
| 数据来源 | 自动发现工具加人工确认的关键参数 |
| 常见载体 | 配置管理库、版本控制仓库、合规检查规则 |
典型使用场景
- 变更后核对实际配置与预期是否一致，防止遗漏步骤
- 审计前用基线比对评估配置合规性
- 主机重装或扩容时按基线快速复制标准配置
- 排查疑难故障时确认配置是否被临时改动
- 安全事件后核查是否残留未登记的调整
基线核查示例
基线核查示例
# 基线要带版本，才能与历史状态对比
基线：Nginx 配置 v23（含安全参数与超时设置）
# 差异发现只是起点，关键是判断差异性质
实际：主机 A 检测到未登记参数修改（client_max_body_size）
# 区分有效改动与坏改动，避免把一切漂移都当违规
动作：开核查工单 → 补变更流程或回退 → 更新基线
# 更新基线后要留痕，记录谁确认、依据是什么漂移的处理路径
| 漂移类型 | 判断依据 | 处理动作 |
|---|---|---|
| 有效未登记 | 改动合理但未走流程 | 补变更记录，更新基线 |
| 配置错误 | 与设计意图不符或引入风险 | 回退并在登记册记录原因 |
| 临时调整 | 为应急暂时修改 | 设恢复期限，到期核对 |
| 版本不一致 | 多主机间参数不同 | 统一到基线版本或纳入差异化清单 |
配置漂移既是稳定性风险也是安全风险：关键参数被改动可能直接削弱防护或引发容量问题，例行配置核查应纳入运维计划而不是等到出事才做。