Atlantis
Roda o Terraform a partir do pull request, e não do notebook de alguém. O plan é postado como comentário e, com isso, passa a fazer parte do code review.
A ferramenta é um receptor de webhook que escuta o seu repositório. Abra um PR e o terraform plan roda automaticamente, com a saída colada como comentário; se parecer sensata, quem revisa escreve atlantis apply e a mudança passa antes do merge. Duas coisas melhoram. O documento mais importante de uma mudança de infraestrutura é o plan — aquilo que diz de fato o que vai acontecer — e ele costuma nunca ser mostrado a ninguém além de quem executa o comando. E toda execução acontece de um só lugar, que detém o lock do arquivo de state, eliminando a categoria inteira de problemas em que duas pessoas aplicam ao mesmo tempo.