Comment détectez-vous et traitez-vous la dérive d'infrastructure ?

Détectez-la en lançant un plan planifié en CI sur chaque environnement et en alertant sur tout diff non vide, et en surveillant le journal d'audit du cloud pour les changements faits hors du pipeline. Traitez-la en corrigeant la cause, pas seulement le symptôme : réappliquez pour annuler les changements involontaires, importez dans le code ceux qui sont légitimes, et retirez l'accès en écriture permanent depuis la console pour que le pipeline soit le seul chemin capable de changer la production.

La détection, c'est la moitié facile. Je lance un plan planifié sur chaque environnement et je traite tout diff non vide comme une alerte, comme ça la dérive apparaît un mardi matin plutôt que pendant une panne. En parallèle je surveille la piste d'audit du cloud pour les actions d'écriture faites par des identités humaines plutôt que par le rôle du pipeline, ce qui attrape des choses qu'un plan ne verra pas, comme une politique attachée à la main sur une ressource que personne n'a importée. Quand un diff apparaît, la première question est de savoir si le changement était intentionnel. Si c'était un correctif à deux heures du matin qui nous a sauvés, il retourne dans le code et il est importé, et la personne qui l'a fait n'a pas d'ennuis, parce que sinon plus personne ne vous dit rien. Si c'était accidentel, on réapplique et on annule. Mais le correctif durable, c'est de retirer la possibilité de le faire : par défaut les humains sont en lecture seule en production, avec un rôle élevé limité dans le temps, journalisé et relu. Avant ce changement on redécouvrait la même dérive tous les mois ; après, la dérive est devenue vraiment rare.