Wie verwaltest du Terraform State im Team, und was machst du gegen Drift?

Nimm Remote State mit Locking, etwa S3 plus DynamoDB oder ein Managed Backend, aufgeteilt in eine State-Datei pro Umgebung und Blast Radius, und commit State niemals nach git, denn er speichert Secrets im Klartext. Gegen Drift lässt du plan nach Zeitplan laufen und alarmierst bei jedem nicht leeren Diff, führst alle Änderungen über die CI statt über die Konsole und nutzt import- oder removed-Blöcke bewusst, statt State von Hand zu editieren.

Remote Backend mit Locking, immer, damit sich zwei Applies nicht ins Gehege kommen. Danach ist die große Entscheidung, wie du ihn aufteilst. Eine riesige State-Datei heißt, ein Plan dauert fünfzehn Minuten und jede Änderung riskiert alles, ich teile also pro Umgebung und dann pro Blast Radius: Networking getrennt vom Cluster, der Cluster getrennt von den Anwendungsressourcen, und geteilte Dinge werden über Remote-State-Outputs oder Data Sources hereingezogen statt als Monolith. State enthält außerdem Secrets im Klartext, was Leute vergessen, er liegt also in einem verschlüsselten Bucket mit engem IAM und aktivierter Versionierung. Gegen Drift lasse ich nachts terraform plan in der CI laufen und alarmiere, wenn der Diff nicht leer ist. Das hat eine Security Group gefunden, die jemand während eines Incidents von Hand aufgemacht hatte, und genau den Fall willst du erwischen. Ich verbiete Konsolenzugriff im Notfall nicht, aber die Regel ist, dass du am selben Tag einen Pull Request aufmachst, um das Getane zu kodifizieren, und der nächtliche Plan ist das, was das durchsetzt.