每日Skill学习 - Infrastructure Drift Detector#

🔍 漂移检测（detect）#

这是技能的核心功能，分六步走：

Step 1: 识别使用的 IaC 工具

1
ls -la *.tf terraform.tfstate .terraform 2>/dev/null && echo "TERRAFORM"
2
ls -la Pulumi.yaml Pulumi.*.yaml 2>/dev/null && echo "PULUMI"
3
ls -la template.yaml template.json cdk.json 2>/dev/null && echo "CLOUDFORMATION/CDK"

Step 2-4: 针对不同工具的检测命令

Step 5: 跨工具通用检查

1
# 查看最近24小时内所有变更（非只读操作）
2
aws cloudtrail lookup-events \
3
  --lookup-attributes AttributeKey=ReadOnly,AttributeValue=false \
4
  --start-time $(date -d '24 hours ago' -u +%Y-%m-%dT%H:%M:%SZ) \
5
  --max-results 50

Step 6: 生成结构化报告

1
# Infrastructure Drift Report — 2026-04-29
2

3
## Summary
4
- **Tool:** Terraform
5
- **Total managed resources:** 47
6
- **Drifted resources:** 3 (1 critical, 1 high, 1 medium)
7
- **Untracked resources:** 2
8

9
## Critical Drift
10
- sg-0a1b2c3d: 安全组被手动添加了一条规则 — 风险：绕过代码审查

⏰ 持续监控（monitor）#

设置定时任务持续检测，推荐阈值：

GitHub Actions 示例：

1
name: Drift Detection
2
on:
3
  schedule:
4
    - cron: '0 6 * * 1-5'  # 工作日早上6点
5
jobs:
6
  detect:
7
    runs-on: ubuntu-latest
8
    steps:
9
      - uses: actions/checkout@v4
10
      - uses: hashicorp/setup-terraform@v3
11
      - run: terraform init
12
      - run: terraform plan -refresh-only -detailed-exitcode
13
        continue-on-error: true
14
      - if: steps.plan.outcome == 'failure'
15
        run: echo "::warning::基础设施漂移检测到!"

🔧 修复计划（reconcile）#

对每个漂移资源，提供三种处理策略：

1. 接受漂移 — 更新 IaC 代码以匹配现实（如 terraform import）
2. 还原漂移 — 重新应用 IaC 定义还原（如 terraform apply -target）
3. 忽略漂移 — 添加 lifecycle { ignore_changes } 声明预期的差异

🏆 亮点#

• 支持四种主流 IaC 框架 — 覆盖面广，大多数团队的基础设施都能覆盖
• 漂移分类清晰 — 按风险等级（Critical/High/Medium/Low）分类，帮助优先处理
• 零依赖 — 纯 Bash + AWS CLI，不需要安装额外软件
• terraform plan -refresh-only — 这是一个经常被忽略的安全命令，它只读取状态不执行任何变更，不会意外破坏环境
• CloudTrail 溯源 — 能追溯是谁/什么时候做的变更，不只是告诉你”有差异”
• 生命周期忽略策略 — 对于合理的差异（如自动更新的标签），提供了标准的忽略方案

⚠️ 值得注意的地方#

• Terraform 必须先 init — 检测前要确保 terraform init 已经执行过
• CloudFormation drift detection 是异步的 — detect-stack-drift 返回检测 ID 后需要轮询状态
• 检测本身也有代价 — 大规模基础设施的 refresh-only plan 可能需要较长时间
• Pulumi 需要正确的 stack — 如果有多个环境，要确保在正确的 stack 上执行