how/state

Drift: когда state и реальность разошлись

Кто-то ткнул тег в AWS Console - и Terraform внезапно показывает изменения. Что такое drift, почему он бывает, и три способа с ним жить.

Дрейф - это когда реальное состояние ресурса в облаке расходится с тем, что Terraform держит у себя в state.

Бывает по разным причинам:

кто-то с правами в AWS Console исправил «на минуточку».
auto-scaling сам подкрутил параметр.
другой инструмент (kubectl, ansible, скрипт) поменял ресурс параллельно.
провайдер AWS обновил атрибут, которого Terraform не контролирует.

Жми ▶ - посмотрим жизненный цикл одного дрейфа: как он появился, как Terraform его увидел, и три способа разрешить.

step 1/6·00 · после apply - инвариант собран

§ шаги

Сразу после успешного terraform apply все три источника правды совпадают: HCL описывает бакет с тегом Owner = "student", state знает про этот тег, в AWS висит ровно такой бакет.

Это базовое состояние Terraform. Любой повторный plan чистый.

итого

Три стратегии работы с дрейфом:

Откатить через apply. terraform apply приведёт облако к HCL. Подходит, когда HCL - правда, а в облаке - ошибка.
Подхватить в HCL. Если изменение в облаке было правильным, правишь main.tf так, чтобы он отражал новую правду, и делаешь apply (или refresh + ручной правкой state-блока).
Игнорировать через [[tf-resource-lifecycle|lifecycle.ignore_changes]]. Если поле естественно дрейфует (auto-scaling меняет desired_count, облако само ставит timestamp), помечаешь его как игнорируемое - и Terraform перестанет считать его расхождением.

Какую стратегию когда:

ручной фикс в облаке для тушения инцидента → стратегия 2 (подхватить в HCL post-mortem'ом, чтобы инвариант снова собирался).
auto-scaling, теги, наложенные облаком → стратегия 3.
всё остальное → стратегия 1, через CI и pull-request.

Регулярная проверка на drift в CI (см. tf-drift-detection) - обязательна в продакшне. Дрейф, который никто не видит, превращается в инцидент.

§ копнуть в базу знаний

§ попробовать руками

§ шаги

Сразу после успешного terraform apply все три источника правды совпадают: HCL описывает бакет с тегом Owner = "student", state знает про этот тег, в AWS висит ровно такой бакет.

Это базовое состояние Terraform. Любой повторный plan чистый.