Alexei
Сейчас планирую сделать следующее:
1. Первоначальный шаблон, который будет перезаписан цертботом.
2. Конечный шаблон, который будет действительным после установки сертификатов.
На шаге (1) уже известно куда будет установлен сертификат на шаге (2). Я развертывание делаю таким образом, что если сертификат уже есть, то генерируется конфигурация с сертификатом, а если не установлен, то без. Идемпотентность сохраняется даже при частичном выполнении. У меня правда dehydrated, а не certbot, но это не принципиально.