PKI ve Vaultu je poměrně mladá věc (odhadem 3-6 měsíců?), ale podle dokumentace by to mělo fungovat docela slibně (https://www.vaultproject.io/docs/secrets/pki/index.html). Jen nevím, jestli k tomu někdo napsal skript, který by řešil automatickou obnovu ve stylu ACME klientů.