Также известна как System F, полиморфическая система типов, обобщение алгоритма хиндли-милнера

А, про system f слышал

Immutable ведь только к виртуальному слою относится. Если деплой идет на железо... там только о конфигурационном апгрейде можно говорить. Если система изолирована например

Технически immutable infrastructure и для железа возможно, вопрос исключительно в оправданности этого дела.

Если у вас на серверах лёгкая контейнеризированная среда и есть запас по ресурсам, то надёжнее полностью переливать машину. Я даже верх автоматизации видел: помечаешь сервера для обновления, а автоматика:
1. Помечает в pxe, что нужно эту машину переналить
2. Ребутает сервер
3. Он переналивается
4. После запуска засасывает себя обратно в кластер

На proxmox часть ифроструктуры прстроена. Мне вот легче обновится до следующего релиза

всем привет, если кто-то использует metabase, подскажите как у вас происходят миграции для аналитики в продакшен базу? в отдельной репе через pipeline или с прод кодом, при деплое заливаются миграции для кода и для аналитики? или какие еще есть варианты?

Подскажите как в линукс(сентос) ограничить юзера , так чтоб при UI логине открывался, скажем, калькулятор и ничего больше нельзя было. rbash работает,есть доступ только к калькулятору, но только при ssh соединении. В UI же почему-то есть доступ на всё.

chroot собери без всего)

Что за ui ?

Зависит от того, насколько сложный калькулятор :)
Если он позволяет запускать программы, то проще в чрут.

Ну и, вообще, какая модель угроз?

Gnome

Похоже на сферическую

Уже подсказали

Зачем gnome, если нужен только калькулятор, который и и так будет запускаться при старте?

xorg-x11 необходим для графических аппликаций

Этого может быть недостаточно. Если у твоего калькулятора есть диалоговое окно открытия файла, которое позволит, например, запустить скрипт или открыть каталог в файловой менеджере и оттуда уже запустить скрипт, то никакая это не защита. Это будет всего-лишь интерфейсное решение для облегчения жизни юзеру, но при этом почти не задержит злоумышленника.

Я в курсе. А гном зачем?

можешь запускать приложухи на сервере через ssh. А приложуха будет отрисовываться у тебя, подключаясь к твоему x11 локальному серверу. ssh x11 forwarding