> Поднять контейнер для скрипта :) апдейта сертификата :) серверу :) это круто, конечно.

это, если вы не знали - то, для чего эти самые контейнеры и были когда-то предназначены - изоляция приложения.
А вовсе не изображать виртуальную машину с собственным линуксом унутре, сводящим всю изоляцию к ху$.

> Правда, придется этот скрипт все-равно пустить в другой контейнер - ну или как он апдейтить
> сертификат будет?

volumes-то, смотрю, в ваших контейнерах уже отменили или еще не завезли?

> А потом мы узнаем что контейреров бывает более 1.

вы, похоже, только что это и узнали, ага.

> И чего тогда? Кодить контейнер-менеджер всего
> этого?

уже за вас все накодили - docker или podman называется. Менеджит контейнеры влегкую.
cron или systemd timer можете использовать системный, ему совершенно незачем быть в контейнере, а такой как у меня вы ниасилите - там полный стековершлак сказов о том, почему это невозможно и не может быть никогда.