统一 IaC 与漂移治理
工程实践 · 脱敏逻辑视图
目标与范围
把云资源、集群清单、Helm 配置和主机状态纳入同一个受控入口，让计划、执行与差异检查拥有明确边界。注册组件既是定位对象的目录，也是执行范围的约束；操作者可以先查目标，再判断是否需要变更。
组件与架构
统一入口提供 list、diff、plan、apply 与 gate；Terraform、Kubernetes、Helm 和主机组件使用各自的检查方式。精确匹配用于限定单个组件，防止前缀展开把同名兄弟环境带入操作范围。
执行流程
先从注册表选择组件，再执行对应差异检查：Terraform 使用 plan 的退出码区分干净、漂移与错误；Kubernetes 比较声明和现状；Helm 渲染后比较；主机侧调用已登记的 reconcile 脚本。apply 默认只读，显式确认参数才进入写入。
工程取舍
统一入口不抹平工具差异，而是为每一类对象定义可判定的零差异条件。提交、推送和 CI 三层门禁让检查跟随交付流程；精确选择降低误操作范围，但组件注册和检查脚本仍需随基础设施演进维护。
验证边界
既有素材记录了组件注册规模、检查命令与分层门禁。零差异结论只针对检查覆盖的组件和当时回读状态，不代表所有外部系统永久无漂移；检查报错也不能当作没有差异。公开页不包含内部资源地址、状态文件或凭据。