¿Cómo detectas y gestionas la deriva de la infraestructura?

Detéctala ejecutando un plan de forma programada en CI contra cada entorno y alertando ante cualquier diferencia no vacía, y vigilando el log de auditoría de la nube en busca de cambios hechos fuera del pipeline. Gestiónala arreglando la causa y no solo el síntoma: vuelve a aplicar para revertir los cambios no intencionados, importa al código los legítimos y quita el acceso de escritura permanente desde la consola para que el pipeline sea el único camino que puede cambiar producción.

La detección es la mitad fácil. Ejecuto un plan de forma programada contra cada entorno y trato cualquier diferencia no vacía como una alerta, así que la deriva aparece un martes por la mañana y no en mitad de una caída. Junto a eso vigilo el rastro de auditoría de la nube en busca de acciones de escritura de identidades humanas en vez del rol del pipeline, lo que caza cosas que un plan no ve, como una política adjuntada a mano en un recurso que nadie importó. Cuando aparece una diferencia, la primera pregunta es si el cambio era intencionado. Si fue un arreglo de las dos de la mañana que nos salvó, vuelve al código y se importa, y quien lo hizo no tiene ningún problema, porque si no nadie te lo cuenta nunca. Si fue accidental, volvemos a aplicar y revertimos. Pero el arreglo duradero es quitar la capacidad de hacerlo: las personas tienen solo lectura en producción por defecto, con un rol elevado limitado en el tiempo que se registra y se revisa. Antes de ese cambio redescubríamos la misma deriva cada mes; después, la deriva se volvió genuinamente rara.