Infraestructura como código para reglas en la nube

En el estilo declarativo se escribe el resultado que se quiere («existe una regla que permite el puerto 443») y la herramienta calcula los pasos para llegar. En el estilo de órdenes se escribe la secuencia de pasos. El primero tiene una ventaja para la seguridad: aplicar dos veces lo mismo deja el mismo estado, y comparar el estado deseado con el real es una operación de rutina.

El plan es el documento que se revisa. Cada línea dice qué acción haría, sobre qué recurso, y el valor antes y después. Leerlo bien es buscar lo que amplía el acceso: un origen que pasa de una red concreta a «cualquiera», un puerto que se abre, una restricción que desaparece.

Consulta plan y mira las columnas antes y despues de las líneas que modifican algo.

Si alguien cambia una regla desde la consola web, la nube y el repositorio dejan de coincidir. Esa diferencia se llama deriva, y es un hallazgo: el cambio no pasó por revisión y la siguiente aplicación del código lo deshará, a veces sin que nadie lo espere.

Compara declarado con estado_real y fíjate en quién hizo la última modificación.

Crear y modificar suelen ser cambios esperados; destruir merece una segunda lectura, porque borra una regla que alguien pudo seguir usando. Una destrucción que el cambio no menciona en su descripción es una pregunta para su autor, no un detalle.

Cuenta las líneas del plan por su acción.

Cuando se encuentra una diferencia entre el código y la nube hay dos caminos: aceptar el cambio real y llevarlo al código con una solicitud revisada, o volver la nube a lo escrito. Lo que no se hace es dejar la diferencia sin decisión, ni arreglarla con otro cambio manual.