Eine Version kommt nur dorthin, wo ihre Auflagen erfüllt sind.

Zu jeder Version gehört eine Anlage, die ihre Auflagen nennt: die Plattformen nach dem Image Index, also Architektur und Betriebssystem, die Mindestversion der Laufzeit, die benötigten Ressourcen, die Vorgängerversionen, von denen aus ein Übergang erlaubt ist, die Zulassungen, die die Umgebung haben muss, und die Markierungen der Daten, die die Version verarbeiten darf.

Die Anlage hängt über den Digest am Paket und ist signiert, wie Stückliste und Herkunft. Die Auflagen stehen damit nicht in einer Handreichung, sondern bei dem Paket, für das sie gelten, und ändern sich nicht, ohne dass sich der Digest der Anlage ändert.

Jede Umgebung meldet ihre Eigenschaften: Architektur, Version der Laufzeit, Ressourcen, die installierten Versionen und ihre Zulassungen, jede Zulassung mit Nachweis und Ablaufdatum. Die Meldung ist ein Datensatz, den der Ort signiert, und HERMES verlässt sich nicht auf eine Annahme, was dort stehen müsste.

Wo eine Umgebung keine Verbindung nach außen hat, kommt die Meldung auf dem dafür vorgesehenen Rückweg, etwa als geprüfter Datenträger. Sie trägt ihren Zeitpunkt, und der Abgleich nennt, wie alt der Stand ist, mit dem er rechnet. Ein veraltetes Inventar ist ein Befund und kein Freibrief.

Vor einem Rollout rechnet HERMES für die Version und die Menge der Zielumgebungen, welche Umgebungen die Auflagen erfüllen. Das Soll wird nur für diese geschrieben. Für alle übrigen entsteht ein Bericht, der je Umgebung nennt, welche Auflage fehlt: die Architektur passt nicht, die Zulassung fehlt oder ist abgelaufen, die Vorversion fehlt.

Fehlt die Vorversion, berechnet HERMES den Übergang. Die erlaubten Wege von Version zu Version bilden einen Graphen, und für eine Umgebung auf einer alten Version wird der kürzeste zulässige Pfad gesucht, etwa über eine Zwischenversion, die eine Migration ausführt. Das Soll sieht dann zwei Schritte vor und nicht einen unmöglichen.

Die Wellen bestehen nur aus tauglichen Umgebungen. Ein Rollout, der mitten in der Welle an einer Auflage scheitert, weil sie vorher niemand geprüft hat, soll es nicht geben.

Eine Auflage lässt sich nicht immer sofort erfüllen. Dann kann eine Ausnahme bestehen: für genau eine Version, eine Umgebung und eine Auflage, mit Begründung, Verantwortlichem und Ablaufdatum, freigegeben von dem, der für die Auflage zuständig ist. Eine Ausnahme ist ein Eintrag im Verlauf und kein stilles Überspringen.

Läuft sie ab, erscheint die Umgebung im Abweichungsbericht, und es braucht eine neue Entscheidung. Was dann mit der Umgebung geschieht, ist eine Änderung wie jede andere und braucht dieselbe Freigabe. HERMES nimmt eine laufende Umgebung nicht von sich aus zurück.

Der Abgleich endet nicht mit dem Rollout. Läuft eine Zulassung ab, wird die Hardware getauscht oder eine Umgebung neu eingestuft, meldet sie neue Eigenschaften, und HERMES prüft die laufenden Versionen erneut gegen ihre Auflagen. Eine nicht mehr erfüllte Auflage ist ein Befund mit Zeitpunkt und Grund.

Welche Folge ein Befund hat, hängt von der Auflage ab. Weiche Auflagen führen zu einer Meldung an den Verantwortlichen. Bei harten, etwa einer fehlenden Zulassung für eine Markierung der Daten, hält HERMES weitere Wellen an und stellt die Frage, ob der Betrieb weiterläuft, an die zuständige Stelle. Ein Abschalten von sich aus gehört nicht dazu.