声明式协调：漂移治理引擎实测

基础设施漂移（Infrastructure Drift）是 GitOps 与 IaC 体系里最隐蔽、也最致命的故障源——当真实云资源与 Terraform state、Pulumi stack、Argo CD 应用清单之间出现偏差时，reconciliation loop 就会失真，一次"看似成功"的 apply 可能正在生产环境埋雷。本期评测聚焦一个被此前《八大 CI/CD 自动化引擎》《从 YAML 到告警》《协作自愈回路》都没真正深入的垂直切面：声明式协调回路中的漂移治理与策略护栏。我们从 GitHub、mcpmarket、SkillsMP、SkillKit、Pulumi 官方等渠道精选 8 个在生产链路中可落地的 Skills，覆盖"plan 差异检测 → state/commit 冲突扫描 → 策略即代码拦截 → 多云迁移协调"的完整治理闭环，并按功能完整度、上手难度、变现潜力、训练营适用性、社区活跃度五维打分。

一、本期评测对象一览

二、五维评测总表

三、逐个深度评测

1. terraform/drift（fabn/claude-plugins）—— 差异即补丁的开源样板

#	Skill 名称	来源	安装方式	一句话定位
1	terraform/drift	fabn/claude-plugins (GitHub)	plugin marketplace	解析 `terraform plan` 差异并产出 .tf 对齐补丁
2	Terraform Drift Detection	mcpmarket	SKILL.md 复制安装	结构化漂移检测框架（state vs 真实）
3	reconcile	conorbronsdon / SkillsMP	SKILL.md	多会话漂移绊线，扫 state+commit+文件冲突
4	terraform-engineer	jeffallan (GitHub Pages)	SKILL.md	refresh/state rm 完整协调生命周期
5	terraform-skill / Patterns	claudedirectory（Anton Babenko 谱系）	marketplace	最佳实践模块与代码生成
6	Pulumi Agent Skills	pulumi.com/docs/ai/skills	官方安装脚本	preview 驱动 + CrossGuard 策略即代码
7	OPA Gatekeeper Policy Enforcement	mcpmarket	SKILL.md	K8s 约束模板与准入拦截
8	GitOps Migration	mcpmarket	SKILL.md	AWS/Azure → GitOps 迁移协调

Skill	功能完整度 (25%)	上手难度 (20%)	变现潜力 (25%)	训练营适用 (15%)	社区活跃 (15%)	加权总分
terraform/drift	★★★★☆	★★★★☆	★★★☆☆	★★★★☆	★★★☆☆	3.65
Terraform Drift Detection	★★★★☆	★★★☆☆	★★★★☆	★★★☆☆	★★★☆☆	3.55
reconcile	★★★★☆	★★★★★	★★★☆☆	★★★★★	★★★☆☆	3.80
terraform-engineer	★★★★★	★★★☆☆	★★★☆☆	★★★★☆	★★★★☆	3.90
terraform-skill/Patterns	★★★★★	★★★★☆	★★★★☆	★★★★★	★★★★★	4.55
Pulumi Agent Skills	★★★★★	★★★☆☆	★★★★☆	★★★★☆	★★★★★	4.30
OPA Gatekeeper	★★★★☆	★★★☆☆	★★★★☆	★★★☆☆	★★★★☆	3.70
GitOps Migration	★★★★☆	★★☆☆☆	★★★★★	★★★☆☆	★★★☆☆	3.65

来源与安装：托管在 fabn/claude-plugins 仓库的 plugins/terraform/skills/drift/SKILL.md，可通过 Claude Code plugin marketplace 加载，核心逻辑围绕 terraform plan -detailed-exitcode 的退出码 2（检测到差异）展开。

核心功能：它不是简单跑一次 plan，而是把 plan 输出解析成"期望态 vs 真实态"的结构化 diff，然后主动提出 .tf 源码对齐建议——即判断该把真实资源拉回声明态（apply），还是承认真实态并把 state/code 更新过去（import/改代码）。亮点是批量审批循环：把多个漂移项打包成一个 diff 列表，一次性提交人工 approve，而不是逐条打断开发节奏。

评分：功能完整度 ★★★★☆、上手 ★★★★☆（需要本机有 terraform CLI 与 state 访问权）、变现 ★★★☆☆（纯开源 pattern，直接卖空间小，更适合做咨询敲门砖）、训练营 ★★★★☆、社区 ★★★☆☆（仓库为个人维护）。

变现/训练营分析：作为开源样板它的价值在于"可解释性极强"——diff→补丁链路透明，适合作为 GitOps 训练营第一天的演示案例。改造为付费产品需要叠加多账号扫描、Slack 预警、漂移趋势看板。与下文的 mcpmarket 版相比，它更"瘦"、更易二次开发。

2. Terraform Drift Detection（mcpmarket）—— 结构化框架型

来源与安装：mcpmarket 上的打包 SKILL.md，定位是为 DevOps 工程师提供识别 state 与真实资源偏差的结构化框架。复制 SKILL.md 到 ~/.claude/skills/ 即可生效。

核心功能：相比 fabn 的"差异即补丁"，这个更偏框架与流程编排——它定义了漂移检测的检查清单、严重度分级、报告模板，把"什么算漂移、漂移到什么程度该告警"显式化。适合中大型团队把漂移治理制度化，而不只是个人跑脚本。

评分：功能 ★★★★☆、上手 ★★★☆☆（概念密度高，需要团队对齐流程）、变现 ★★★★☆（框架型产品天然适合打包成 SaaS 或企业内训）、训练营 ★★★☆☆、社区 ★★★☆☆。

与竞品对比：fabn 重"执行"、mcpmarket 版重"治理框架"。如果你的痛点是"我根本不知道哪些资源漂移了"，选 fabn；如果痛点是"漂移检测我跑了，但团队没人响应、没流程收口"，选这个框架型。

3. reconcile（conorbronsdon / SkillsMP）—— 多会话绊线，最小惊喜

来源与安装：SkillsMP 上 conorbronsdon-claude-code-skills-reconcile-skill-md，单个 SKILL.md，安装极轻。

核心功能：它的视角与众不同——不是 IaC 专属，而是多会话/多 agent 协作时的"绊线检查（tripwire）"。它会扫描 state 文件、最近提交、以及 agent 之间可能产生的文件冲突，在一次长任务或多个并发会话之后，主动核对"世界是否还和声明一致"。这恰好补上了 long-running-agent 这类长跑 agent 最容易踩的坑：跑着跑着，某个子 agent 把 state 改了，主 agent 还蒙在鼓里。

评分：功能 ★★★★☆、上手 ★★★★★（几乎零配置）、变现 ★★★☆☆（更适合作为平台内置能力而非独立产品）、训练营 ★★★★★（讲多 agent 协同必备）、社区 ★★★☆☆。

变现/训练营分析：它最难单独卖，却是最该被"内置"的能力。训练营里它是讲"agent 协调回路"的最佳教具——一个不到 50 行的 SKILL.md 就能演示 state/commit/冲突三路扫描，教学性价比极高。

4. terraform-engineer（jeffallan）—— 完整协调生命周期

来源与安装：jeffallan.github.io/claude-skills/skills/infrastructure/terraform-engineer/，GitHub Pages 托管的 SKILL.md。

核心功能：覆盖 Terraform 完整生命周期，其中漂移部分明确给出两条协调路径：terraform refresh 把 state 与真实资源重新对账（注意 refresh 本身有副作用，新版已被 plan -refresh-only 取代），或 terraform state rm 移除失控资源重新接管。它不只检测，还给出"何时 refresh、何时 import、何时 rm"的决策树。

评分：功能 ★★★★★（最全的生命周期覆盖）、上手 ★★★☆☆、变现 ★★★☆☆、训练营 ★★★★☆、社区 ★★★★☆。

与竞品对比：这是"全科医生"，drift 只是它的一科。如果你要的是一个能从 init→plan→apply→refresh→import 全程接管的工程师 Skill，它最合适；如果只想做漂移专项，前两者更聚焦。

5. terraform-skill / Terraform Patterns（Anton Babenko 谱系）—— 最佳实践之锚

来源与安装：claudedirectory 列出的 claude-skills-terraform-patterns，社区公认与 Anton Babenko（terraform-aws-modules 维护者）的生态一脉相承，是 DevOps 工程师"必装"级别。

核心功能：它不直接做漂移检测，而是从源头减少漂移——强制使用经过验证的 module 写法、变量校验、lifecycle 块、prevent_destroy 护栏，让"难以写出会漂移的代码"。配合 drift 检测类 Skill 形成闭环：预防（Patterns）+ 发现（drift）。

评分：功能 ★★★★★、上手 ★★★★☆、变现 ★★★★☆、训练营 ★★★★★、社区 ★★★★★（本届社区最强）。

变现/训练营分析：训练营首选——它是把"最佳实践"沉淀进 agent 的范本，可以拆成 module 设计、状态隔离、backend 配置、漂移预防多个课时。变现上，叠加企业私有 module registry 审核，可做成"合规即代码"订阅。

6. Pulumi Agent Skills（官方）—— preview 驱动 + 策略即代码

来源与安装：pulumi.com/docs/ai/skills/ 官方文档，支持 Claude Code、Cursor、GitHub Copilot 等。

核心功能：以 pulumi preview 为协调原语——它在执行前先 dry-run 预览将要变更的资源，再叠加 CrossGuard（Pulumi 的 policy-as-code，可用 TS/Python 写策略）在 preview/up 阶段拦截不合规变更。与 Terraform 生态最大的差异是：策略和基础设施用同一门语言写，类型安全、可测试。

评分：功能 ★★★★★、上手 ★★★☆☆（需懂 Pulumi + 一门通用语言）、变现 ★★★★☆、训练营 ★★★★☆、社区 ★★★★★（厂商官方背书）。

变现/训练营分析：官方维护意味着稳定性和文档质量是本届最高。变现空间在于"AI + IaC + 合规"组合——把 CrossGuard 策略包按行业（金融、医疗）打包销售。训练营里它是讲"为什么 preview 比 apply 重要"的活教材。

7. OPA Gatekeeper Policy Enforcement（mcpmarket）—— K8s 准入护栏

来源与安装：mcpmarket 打包 SKILL.md，聚焦 Kubernetes 集群的 OPA Gatekeeper。

核心功能：在集群准入控制器层（admission）拦截不合规资源——写 ConstraintTemplate（Rego）强制命名规范、镜像来源、副本数下限、必填 label 等。它把"漂移"从 IaC 静态层延伸到运行时动态层：即使有人手滑 kubectl apply，Gatekeeper 也会在写入 etcd 前拒绝。

评分：功能 ★★★★☆、上手 ★★★☆☆（Rego 学习曲线陡）、变现 ★★★★☆（合规包装价值高）、训练营 ★★★☆☆、社区 ★★★★☆。

与竞品对比：它是"运行时漂移防线"，与 Pulumi CrossGuard（IaC 层）形成纵深防御。企业级落地通常两者都要。

8. GitOps Migration（mcpmarket）—— 迁移即协调，高客单天花板

来源与安装：mcpmarket 上 gitops-infrastructure-migration，面向把 AWS/Azure 现有基础设施迁移到 GitOps 模式的场景。

核心功能：自动化 Terraform、Ansible、EKS 迁移——把"手动运维的存量资产"反向导入声明式仓库，重建 reconciliation loop。它处理的是最脏的活：现有资源的 import、状态文件重建、与既有 CI 的对接。

评分：功能 ★★★★☆、上手 ★★☆☆☆（迁移本身复杂度高）、变现 ★★★★★（本届变现天花板）、训练营 ★★★☆☆、社区 ★★★☆☆。

变现/训练营分析：基础设施迁移是企业客单价最高的咨询品类之一，单项目可到六位数美元。把它包装成"AI 辅助 GitOps 迁移"服务，变现潜力本届第一。训练营里更适合作为"高阶实战项目"而非入门课。

四、Skills 生态分类思维导图

mindmap
  root((漂移治理与声明式协调))
    预防 Prevention
      最佳实践模块
        terraform-skill/Patterns
      策略即代码
        Pulumi CrossGuard
        OPA Gatekeeper
    发现 Detection
      静态 Plan 差异
        terraform/drift (fabn)
        Terraform Drift Detection
      多会话绊线
        reconcile
      生命周期对账
        terraform-engineer
    协调 Reconciliation
      state refresh/rm
      preview 驱动 apply
      约束准入拦截
    迁移 Migration
      存量导入
        GitOps Migration
      多云重塑

五、声明式协调回路全景

flowchart LR
    A[真实云资源] -->|漂移发生| B{Reconciliation Loop}
    C[Git 声明态<br/>Terraform/Pulumi] --> B
    B -->|plan/preview| D[差异检测]
    D --> E{策略护栏<br/>CrossGuard/OPA}
    E -->|拦截| F[拒绝并报告]
    E -->|放行| G[apply/import/refresh]
    G -->|对账| A
    D --> H[多会话绊线<br/>reconcile]
    H --> B
    subgraph 预防层
      I[最佳实践模块<br/>terraform-skill]
    end
    I -.减少漂移源头.-> C

六、推荐排行榜

按变现潜力：GitOps Migration（★★★★★）＞ terraform-skill/Patterns ＝ Pulumi Agent Skills ＝ OPA Gatekeeper ＝ Terraform Drift Detection ＞其余。迁移服务客单价最高，策略即代码次之（可按合规包订阅）。

按训练营适用性：terraform-skill/Patterns（★★★★★）＞ reconcile ＝ Pulumi ＞ terraform-engineer ＞其余。最佳实践模块和多会话绊线最适合教学演示。

按社区活跃与稳定性：Pulumi Agent Skills ＝ terraform-skill（★★★★★，官方/社区双背书）＞ terraform-engineer ＞ OPA Gatekeeper ＞其余。厂商官方维护的长期可信赖度最高。

按上手速度：reconcile（★★★★★，零配置）＞ terraform/drift ＞ terraform-skill ＞其余。想 5 分钟见效，从 reconcile 或 fabn/drift 开始。

组合推荐（生产可用三件套）：预防层 terraform-skill/Patterns + 发现层 fabn/terraform-drift + 运行时护栏 OPA Gatekeeper——覆盖静态写入、声明漂移、运行时篡改三层，是本届最稳的治理底座。若已用 Pulumi，则用 Pulumi Agent Skills 替代前两者，CrossGuard 一套打到底。

七、结论

漂移治理的本质，是把"声明态"和"真实态"之间的灰色地带显式化、流程化、可审计化。本期 8 个引擎各有站位：reconcile 最轻、terraform-skill 最稳、Pulumi 官方最可信、GitOps Migration 最能赚钱。真正的护城河不在单个 Skill，而在"预防→发现→协调→迁移"的回路完整性——选两到三个组合落地，远比追求单一全能引擎更现实。