Часть вопроса -- в control(8) (конфиги и права на бинарники), часть -- в alternatives, кое-что привносят хуки инсталятора, а остальное скорее надо попакетно смотреть (например, /lib/modules/*/modules.* надо бы делать %ghost, наверное).

Провёл эксперимент с server-ovz.iso, собранным из сегодняшнего mkimage-profiles -- получилось 68 строк в выводе rpm -Va, из них две дюжины -- от двух ядер (std-def и ovz-el).  Анализируемо, но тоже многовато.

Думаю заняться в рамках mkimage-profiles.  Для начала можно после завершения сборки очередной стадии выполнять rpm -Va | wc -l и фиксировать результат в логе (поможет livecd, но не установленной системе -- там надо будет думать, как сопрячь с kvm, у boyarsh@ были наработки в рамках автотестирования инсталятора).

Хозяйке на заметку: в bug #22226 imz@ упомянул %verifyscript (http://www.rpm.org/max-rpm/s1-rpm-inside-scripts.html#S2-RPM-INSIDE-VERIFYSCRIPT-SCRIPT) -- хотя с его применением этот самый объём вывода можно разве что увеличить, как пока понимаю.

Ещё хозяйке на заметку (и по потребности): %verify(not md5 size mtime)

> Сразу после установки команда "rpm -Va" выдала почти 2000 сообщений. 

Сейчас ситуация такая. На десктопах менее 1000 сообщений. Из них 920 - это файлы пакета shared-mime-info. Если этого пакета нет, то сообщений 40+.

(Ответ для Антон Мидюков на комментарий #4)
> > Сразу после установки команда "rpm -Va" выдала почти 2000 сообщений. 
> 
> Сейчас ситуация такая. На десктопах менее 1000 сообщений. Из них 920 - это
> файлы пакета shared-mime-info. Если этого пакета нет, то сообщений 40+.

Но это сейчас не проблема mkimage-profiles, а упаковки пакетов.