Сертификаты безопасности в докере

Как правильно организовать работу с получением/обновлением сертификатов безопасности(letsencrypt) в докер-композе? Видел разные варианты, непонятно - как правильно. Есть вариант(1), когда в докер композе определяется сервис certbot(на основе образа certbot), в нем получают сертификат, обновляют руками конфигурацию nginx. Сервисы nginx и certbot периодически автоматически обновляются с помощью скрипта через крон. Есть вариант(2) с подменой сертификата(насколько я понял). Сертификат получается с помощью скрипта, не в контейнере certbot. Сами контейнеры certbot и nginx имеют периодическое обновление. Полностью автоматизировать этот процесс вообще можно? Может есть еще какие варианты(попроще)?