Nekem pilotban volt egy Pulp szerver, amin volt current meg stable "ág" - a current naponta frissült, a stable meg az előírt frissítési periódus elején. Telepítés a stable ágból, frissítés dettó, így minden gép ugyanazt az állapotot látta. Ha kritikus javításról tudomást szereztem, akkor az érintett csomag kézzel ment fel egy critical repóba, ahova szintén "beláttak" a gépek, és onnan _is_ húztak frissítést/csomagokat, ha szükséges volt.
Ez a repó és a verziók fixálása rész - a "hol, mi van telepítve" ebben a körben nem volt cél, azóta meg nem foglalkoztam (még) ilyen szinten buguntuk maszírozásával, de lassan nekem is időszerű lesz sajna... (RHEL/CentOS vonalon ugyebár jóval egyszerűbb az élet ilyen szempontból...)