पूरी टीम में Terraform state आप कैसे संभालते हैं, और drift का क्या करते हैं?

locking के साथ remote state इस्तेमाल करें, जैसे S3 और DynamoDB या कोई managed backend, उसे हर एनवायरनमेंट और असर के दायरे के हिसाब से एक एक फाइल में बांटें, और state को git में कभी commit न करें क्योंकि उसमें secrets सादे टेक्स्ट में रहते हैं। drift के लिए plan तय समय पर चलाएं और खाली न होने वाले किसी भी diff पर अलर्ट करें, हर बदलाव को console के बजाय CI से गुजारें, और state हाथ से बदलने के बजाय import या removed ब्लॉक सोच समझकर इस्तेमाल करें।

locking के साथ remote backend, हमेशा, ताकि दो apply आपस में दौड़ न सकें। इसके आगे बड़ा फैसला यह है कि आप इसे बांटते कैसे हैं। एक विशाल state फाइल का मतलब है कि plan में पंद्रह मिनट लगते हैं और हर बदलाव सब कुछ जोखिम में डालता है, तो मैं इसे पहले एनवायरनमेंट के हिसाब से और फिर असर के दायरे के हिसाब से बांटता हूं: networking cluster से अलग, cluster एप्लिकेशन के रिसोर्स से अलग, और साझा डेटा एक ही ढेर बनाने के बजाय remote state आउटपुट या data source से खींचा हुआ। state में सादे टेक्स्ट में secrets भी होते हैं, जो लोग भूल जाते हैं, तो वह सख्त IAM और versioning के साथ एक encrypted bucket में रहता है। drift के लिए मैं CI में हर रात terraform plan चलाता हूं और diff खाली न हो तो अलर्ट करता हूं। इसी ने एक ऐसा security group पकड़ा जिसे किसी ने इंसिडेंट के दौरान हाथ से चौड़ा कर दिया था, और यही तो वह मामला है जिसे आप पकड़ना चाहते हैं। मैं आपात हालात में console के इस्तेमाल पर पाबंदी नहीं लगाता, पर नियम यह है कि आपने जो किया उसे कोड में लाने के लिए उसी दिन pull request खोलनी होगी, और उसे लागू रात वाला plan कराता है।