Коллеги, а кто как решает такую задачу:

Есть, скажем, два окружения (в AWS, если это важно): UAT и Prod. В каждом - пачка линукс-серверов (виртуалки, скажем, redhat- и debian-based). Требуется накатывать системные обновления на прод только после установки их на уат и тестирования, что ничего не посыпалось. Между установкой на уат и аппрувом установки на прод пройдет какое-то время, так что "yum update", выполненный на проде, с большой вероятностью установит не [только] те обновления, что ставились на уате, а надо обновить только то, что протестировано.