Wie erkennst und behandelst du Infrastruktur-Drift?

Erkennen: einen Plan nach Zeitplan in CI gegen jede Umgebung laufen lassen und auf jedes nicht leere Diff alarmieren, plus das Cloud Audit Log auf Änderungen außerhalb der Pipeline beobachten. Behandeln: die Ursache beheben statt nur das Symptom, also ungewollte Änderungen per Reapply zurücknehmen, legitime per Import in den Code holen und stehende Schreibrechte in der Konsole entfernen, damit die Pipeline der einzige Weg ist, Produktion zu ändern.

Erkennen ist die einfache Hälfte. Ich lasse nach Zeitplan einen Plan gegen jede Umgebung laufen und behandle ein nicht leeres Diff als Alert, sodass Drift an einem Dienstagmorgen auftaucht statt während eines Ausfalls. Daneben beobachte ich den Cloud Audit Trail auf Schreibaktionen menschlicher Identitäten statt der Pipeline-Rolle, was Dinge fängt, die ein Plan nicht sieht, etwa eine manuell angehängte Policy auf einer Ressource, die niemand importiert hat. Taucht ein Diff auf, ist die erste Frage, ob die Änderung beabsichtigt war. War es ein Fix um zwei Uhr nachts, der uns gerettet hat, geht sie in den Code und wird importiert, und die Person, die sie gemacht hat, bekommt keinen Ärger, denn sonst erzählt es dir nie wieder jemand. War sie versehentlich, wenden wir neu an und rollen zurück. Der dauerhafte Fix ist aber, die Möglichkeit zu entfernen: Menschen bekommen in Produktion standardmäßig nur Leserechte, mit einer zeitlich begrenzten erhöhten Rolle, die geloggt und reviewt wird. Vor dieser Änderung haben wir denselben Drift jeden Monat neu entdeckt, danach wurde Drift wirklich selten.