Wir haben dafür eine ansible role geschrieben. Diese logt sich auf Checkmk ein, macht ein proxy-register und auf der client Seite in cmk-agent-ctl import.
Funktioniert ganz gut.
Aufwand für TLS halt trotzdem gross.
Bakery wird bei uns nie in Frage kommen.