IaC là change control, không chỉ file cấu hình
Desired state, provider target và state mapping phải được review cùng nhau. validate kiểm tra syntax/schema; plan cho thấy diff; approval mới cho phép apply; verify phải kiểm tra actual resource và outputs. State remote cần lock, access control, version/backup và tránh credential/sensitive data rò rỉ.
Drift và lifecycle
Drift xảy ra khi Console/khác tool thay đổi resource. Không tự động overwrite; trước hết thu evidence, quyết định source of truth, import/reconcile hoặc rollback. Deployment Manager là lựa chọn legacy cần kiểm tra support/lifecycle trước khi dùng; Terraform không phải lý do bỏ qua governance.
Bài tập
Viết design-only Terraform runbook cho resource GCP lab, so sánh với Deployment Manager, tạo plan/evidence template và drift response. Nếu có sandbox, dùng backend an toàn và resource nhỏ; cleanup scoped, kiểm tra state và residual resources.