技能介绍

解决什么具体问题

在云原生架构中，基础设施即代码（IaC）虽然保证了初始部署的一致性，但难以阻止“配置漂移”（Configuration Drift）。当运维人员为了紧急修复 bug 或应对突发流量，直接在 AWS 控制台手动修改了 CloudFormation 堆栈中的资源（例如 AWS::EC2::Instance 的实例类型，或 AWS::EC2::SecurityGroupIngress 的安全组规则），代码仓库里的模板就与线上实际运行的环境产生了偏离。这种“影子操作”会导致环境不可预测，且在下次部署时引发冲突或回滚失败。本技能旨在自动化识别这种偏离，让 IaC 代码重新成为基础设施状态的唯一真实来源。

核心能力与工作流

该技能深度封装了 AWS SDK，通过调用 DetectStackDrift 和 DescribeStackResourceDrifts 两个核心 API 来实现自动化巡检。其工作流主要分为三个关键步骤：

触发漂移检测：针对指定的 CloudFormation 堆栈发起 DetectStackDrift 请求，获取当前堆栈是否存在漂移的初步状态。
细粒度资源对比：利用 DescribeStackResourceDrifts API 拉取每个资源的实时配置，将其与 CloudFormation 期望状态（Desired State）进行逐项比对，精准定位发生漂移的具体属性。
生成修复模板与合规集成：在识别出偏离项后，技能会生成相应的修复模板（Remediation Templates），并支持与 AWS Config 规则集成，将漂移事件转化为持续合规检查的触发条件，实现闭环管理。

适用边界与注意点

附加资源权限：该技能在执行检测时，需要 IAM 角色具备从特定位置附加资源的权限，在生产环境中部署前需仔细核对最小权限原则（Least Privilege）。
漂移检测的滞后性：CloudFormation 的漂移检测并非实时监控，通常存在一定的延迟。对于毫秒级要求的安全组变更，仍需依赖 AWS Config 或其他实时审计工具作为补充。
手动修改的追溯：虽然能生成修复模板，但技能无法自动回滚那些未经记录的手动修改，修复操作仍需工程师介入评估风险。