смотри как сделано у нас. есть паппет мастер, есть хосты.
в репу с паппетом добавляются зашиврованные креды. ключ для расшифровки хранится только на паппет мастере.
когда ты накатываешь конфиг на тачку можешь заказать установку кредов в любое нужное место в любом виде, можно в формате дженкинса.
профит
если все наебнется то дженкинс у нас раскатится за 2 минуты с нуля, а еще за 30 секунд через JJB накатятся все джобы