Fantocherequer certificados entre o cliente (puppet) que está sendo gerenciado e o servidor (puppetmaster). Você pode executar manualmente no cliente e depois ir para o servidor para assinar o certificado, mas como automatizar esse processo para clusters/máquinas em nuvem?