Инфра (кластер, node groups, IAM, addons) — Terraform; workload манифесты — Helm/Kustomize/GitOps (Argo/Flux). Провайдер kubernetes в TF для app — спорно: смешивает жизненные циклы и усложняет drift.
Разбор
- Исключения: CRD/операторы уровня платформы.
- Секреты в cluster — sealed-secrets/ESO, не tf state.
- Единый source of truth для app — GitOps repo.
- Terraform выдаёт kubeconfig outputs осторожно.
Итог
TF для cluster plane, GitOps для app plane — меньше боли на границе.