Честно, понял только примерно, как Ansible помогает обновлять пакеты без заморочек, а OpenSCAP — это больше про проверки и отчёты по безопасности. Главное — не запутаться в скриптах, а то можно и сломать случайно. Мне кажется, если ставить автоматические процедуры, то надо всё тестить сначала, чтобы потом не было сюрпризов.