配置即代码审计工作流

概述

人工在控制台改配置看似高效，却让代码与真实状态分叉，下一次自动部署又会覆盖回去。以对比发现漂移、逐项决定改代码或回退、追溯成因并防返、再把漂移检测定期运行，可让配置即代码真正成立。

关键步骤

1. 对比线上配置与代码定义。
2. 逐项调和：更新代码或回退改动。
3. 追溯漂移成因并增设防返。
4. 把漂移检测变为定期检查。

验证

• 调和后漂移报告为空。
• 人工改动会被下一次检查发现。
• 合法性改动经评审入代码。
• 调和与防返措施有记录。

决策点

合法改动应经评审写入代码，其余一律回退以保持代码权威；应限制人工改动并保留经审计的应急通道，完全封堵会催生更难观测的变通。

适用范围

本条目围绕「配置即代码审计工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。

建议在正式环境落地前先在预发或隔离环境演练一遍，把关键观测指标与负责人一并记录，确保出现异常时能快速定位并恢复。

terraform plan -detailed-exitcode
# exit code 2 means drift exists; reconcile or codify