Você pode usar puppet cert clean para remover o certificado do host antigo do mestre, permitindo que o novo host obtenha um certificado assinado, mas isso quebrará os fantoches subsequentes do antigo host.
Outra opção é a opção allow_duplicate_certs em puppet.conf , mas em vez de permitir a coexistência dos dois nós, ela permite uma substituição automática do certificado do host antigo quando o novo está assinado.
A única maneira de permitir que os dois continuem realizando os fantoches com sucesso seria fazer com que eles usem o mesmo certificado - você precisará copiar manualmente o certificado e a chave privada de um para o outro.