Estado, bloqueo y deriva

Cuando una aplicación empieza, Terraform toma un bloqueo sobre el estado. Si otra ejecución llega mientras tanto, falla con un error y espera a que el bloqueo se libere. Sin bloqueo, dos aplicaciones simultáneas leerían el mismo estado, harían cambios distintos y la última en escribir pisaría a la primera: el estado dejaría de describir la infraestructura. Un bloqueo que se queda tomado después de una ejecución caída se libera tras comprobar que nadie sigue operando, nunca «a ciegas» para que la cadena avance.

El bloqueo protege la integridad del estado; saltárselo para ganar velocidad es cambiar un retraso por una corrupción.

Una aplicación de la ejecución 0431 falló porque el estado estaba bloqueado. El mensaje de error trae el detalle del bloqueo: qué operación lo tomó, cuándo y quién. Antes de pensar en forzar nada, se identifica a quien lo tiene: si es una ejecución viva, se espera; si ya murió, se libera con conocimiento y se anota.

El trabajo nocturno ejecuta un plan con la opción que devuelve un código distinto cuando hay diferencias: 0 si no hay cambios, 1 si hay un error y 2 si hay cambios por aplicar. Un 2 en un trabajo de deriva significa que el código y la nube ya no coinciden. Quien lo lee debe saber desde cuándo, porque ese día acota qué registros de auditoría mirar.

El detalle de la deriva dice qué cambió: una regla de entrada nueva en el grupo de seguridad de la flota, abierta a todo internet. No dice quién. Eso lo dice el registro de auditoría de la nube, que anota cada acción de escritura con su identidad y su origen. Una identidad humana, desde la consola web, en una hora que cuadra con la primera noche con deriva, es el rastro de un cambio fuera de la cadena.

El mismo registro de auditoría muestra otro cambio manual de la misma persona sobre otro recurso, y el plan nocturno no lo reporta. El código de ese recurso tiene un bloque de ciclo de vida que le dice a Terraform que ignore los cambios de un atributo: es una herramienta legítima para casos concretos, y también la forma más silenciosa de esconder deriva. Cruza el código con la auditoría.