а что вам не нравится?
технически, вариант с гитлаб раннером имеет право на существование (и предпочтителен в случае если есть гитлаб сервер. Раннер как раз занимается тем что постоянно опрашивает сервер а нет ли новой задачи. Каждые 3 секунды, кстати, насколько я помню, чем вам не scheduler :D ) но если гитлаба нет? Предлагаете еще один сервис запихать в ответственность (чью кстати? и надо ли оно ему)
Доступ изнутри контура наружу имеется, вообще проблема ровно в том, что админ просто отбирает доступы "и проблемы индейцев..." Каких то хитрых политик безопасности не предусмотрено.
это не должно влиять на ipmi по идее