Nekünk pl a puppetmaster szerveren fut a certbot, oda proxyzza minden edge load balancer a HTTP challenge-t, aztán a puppet szétkürtöli az új certet "minden" szerverre.