Como você gerencia o estado do Terraform num time, e o que você faz com drift?

Use estado remoto com locking, como S3 mais DynamoDB ou um backend gerenciado, dividido em um arquivo de estado por ambiente e por raio de impacto, e nunca commite estado no git, já que ele guarda secrets em texto puro. Para drift, rode plan de forma agendada e alerte em qualquer diff não vazio, mantenha todas as mudanças passando por CI em vez do console, e use blocos import ou removed de forma deliberada em vez de editar o estado na mão.

Backend remoto com locking, sempre, para que dois applies não corram um contra o outro. Além disso a grande decisão é como você divide. Um arquivo de estado gigante significa que um plan leva quinze minutos e toda mudança arrisca tudo, então eu divido por ambiente e depois por raio de impacto: rede separada do cluster, o cluster separado dos recursos de aplicação, e o que é compartilhado puxado com outputs de estado remoto ou data sources em vez de um monólito. O estado também contém secrets em texto puro, o que as pessoas esquecem, então ele vive num bucket criptografado com IAM apertado e versionamento ligado. Para drift, eu rodo terraform plan toda noite no CI e alerto se o diff não estiver vazio. Isso encontrou um security group que alguém tinha alargado na mão durante um incidente, que é exatamente o caso que você quer pegar. Eu não proíbo acesso ao console em emergências, mas a regra é que você abre um pull request no mesmo dia para codificar o que fez, e o plan noturno é o que impõe isso.