я только вручную такое выкатываю, но я бы не сказвл что это "единственно правильный путь", просто у меня вот так
highstate у меня автоматически / по расписанию не применяется, хотя подумываю для новых миньонов надо через реактор запускать
А в чем тогда вообще использовать солт? Используй ансибл. Я как раз хочу быть уверен, что состояние системы не изменилось между тем, как админ посмотрел на сервер