Como você detecta e lida com deriva de infraestrutura?

Detecte rodando um plan de forma agendada no CI contra cada ambiente e alertando em qualquer diff não vazio, e observando o log de auditoria da nuvem em busca de mudanças feitas fora do pipeline. Lide com isso corrigindo a causa e não só o sintoma: reaplique para reverter mudanças não intencionais, importe as legítimas de volta para o código, e remova o acesso de escrita permanente pelo console para que o pipeline seja o único caminho capaz de mudar a produção.

A detecção é a metade fácil. Eu rodo um plan agendado contra cada ambiente e trato um diff não vazio como alerta, então a deriva aparece numa terça de manhã em vez de durante uma indisponibilidade. Junto com isso eu observo a trilha de auditoria da nuvem em busca de ações de escrita por identidades humanas em vez da role do pipeline, o que pega coisas que um plan não vê, tipo uma policy anexada manualmente em um recurso que ninguém importou. Quando um diff aparece, a primeira pergunta é se a mudança foi intencional. Se foi uma correção das duas da manhã que nos salvou, ela volta para o código e é importada, e a pessoa que fez não leva bronca, porque senão ninguém nunca te conta. Se foi acidental, a gente reaplica e reverte. Mas a correção duradoura é remover a capacidade de fazer aquilo: humanos ficam com somente leitura em produção por padrão, com uma role elevada por tempo limitado que é logada e revisada. Antes dessa mudança a gente redescobria a mesma deriva todo mês; depois dela, deriva virou algo genuinamente raro.