Ich sehe hier im Tagging keinen Sinn, außer dass man dem Kind einen Namen gibt.
Ich denke es sollte nicht zu kompliziert werden, Änderungen vorzunehmen. Die Perspektive eigene Ideen aufgrund von Verwaltungsakten nicht umsetzen zu können, ist für mich einer der stärksten Gründe nicht an Projekten zu arbeiten.
Letzlich geht es doch nur darum die Wahrscheinlichkeit für ein folgenreiches Versehen möglichst gering zu halten. Wer Zugriff auf den puppet-Master hat, hat ohnehin die Macht alles kaputt zu machen. Dementsprechend vorsichtig sollte man in bestimmten Bereichen sein und Änderungen lieber in einer eigens dazu eingerichteten Umgebung testen. Ein komplizierter git-release Zyklus schützt da wenig.