Make quotes consistent to match the sample config

Per project conventions, should use single quotes.
Also, update comments and defaults to match sample.

Change-Id: I82ddcec230e7a03965d753db60968912b8d7da5c
Closes-Bug: #1663624

Merge "Run nova-cell_v2-discover_hosts at step 5"

Run nova-cell_v2-discover_hosts at step 5

We need to run nova-cell_v2-discover_hosts at the very end of the
deployment because nova database needs to be aware of all registred
compute hosts.

1. Move keystone resources management at step 3.
2. Move nova-compute service at step 4.
3. Move nova-placement-api at step 3.
5. Run nova-cell_v2-discover_hosts at step 5 on one nova-api node.
6. Run neutron-ovs-agent at step 5 to avoid racy deployments where
   it starts before neutron-server when doing HA deployments.

With that change, we expect Nova aware of all compute services deployed
in TripleO during an initial deployment.

Depends-On: If943157b2b4afeb640919e77ef0214518e13ee15
Change-Id: I6f2df2a83a248fb5dc21c2bd56029eb45b66ceae
Related-Bug: #1663273
Related-Bug: #1663458

Merge "nova: disable API in WSGI by default"

start nova-compute when keystone resources are created

1. Move keystone resources management at step 4.
2. Move nova-compute startup at step 5.

That way, we make sure nova-compute will start when all Keystone
resources are ready.

Change-Id: I6e153e11b8519254d2a67b9142bf774a25bce69d
Closes-Bug: #1663273

nova: disable API in WSGI by default

Cleanup patch once the THT patch is merged.

Change-Id: Iba439a4758a4728197d7620b764a4f0f2648ee0f
Depends-On: I09b73476762593642a0e011f83f0233de68f2c33

Disable midonet unit tests

'https://github.com/midonet/puppet-midonet' doesn't exist anymore, we
need to migrate to 'https://github.com/openstack/puppet-midonet' but
tests will fail.

We need to work with Midokura to get them fixed. In the meantime, let's
disable it.

Change-Id: Id39bc5a8cd229df3e9b597a0a0f3eada838f4953

Merge "Proxy API endpoints that UI uses"

Merge "nova/libvirt: switch vnc server binding"

nova/libvirt: switch vnc server binding

On compute nodes, instead of binding vnc server on 0.0.0.0, use the IP
address provided by libvirt's t-h-t profile (hiera).

Co-Authored-By: Juan Antonio Osorio Robles <jaosorior@redhat.com>
Depends-On: Ie377c09734e9f6170daa519aed69c53fc67c366b
Change-Id: If6b116b238a52144aad5e76c9edc7df6aa15313c
Closes-Bug: #1660099

Stop deploying Nova API in WSGI with Apache

It was suggested by Nova team to not deploying Nova API in WSGI with
Apache in production.
It's causing some issues that we didn't catch until now (see in the bug
report). Until we figure out what was wrong, let's disable it so we can
move forward in the upgrade process.

Related-Bug: 1661360

Co-Authored-By: Juan Antonio Osorio Robles <jaosorior@redhat.com>
Change-Id: Ia87b5bdea79e500ed41c30beb9aa9d6be302e3ac

Merge "Revert "Revert "set innodb_file_per_table to ON for MySQL / Galera"""

Proxy API endpoints that UI uses

Add support to enable the UI to use paths via mod_proxy to access API
endpoints instead of connecting to each endpoint directly on a port
other than where the UI is served from.  This is necessary to prevent
certificate acceptance errors from non-Chrome browsers which take
exception to connections made to other ports on the same hostname, using
one SSL certificate.

This change extends the UI's Apache configuration to create one
mod_proxy location for each of the API endpoints that UI calls upon.
These mod_proxy (using ProxyPass, ProxyPassReverse) endpoints are
configured using new heira variables provided in the dependent commit.

Additionally, this change modifies the default UI configuration file to
include endpoint URLs formatted to use the new endpoint paths that are
created.

Removed puppet variables which were previously used to generate the
contents of the tripleo_ui_config.js template, since they are no longer
used to generate this file, replaced with the new endpoint URLs
formatted to use the new endpoint paths that are created.

Change-Id: I55e375ad462fa98e181277ec0bd88658e620e8ad
Implements: blueprint proxy-undercloud-api-services
Depends-On: Ib20f4b0891563ae90ec80675635a64c39bd2fdb7

Revert "Revert "set innodb_file_per_table to ON for MySQL / Galera""

This reverts commit 3f7e74ab24bb43f9ad7e24e0efd4206ac6a3dd4e.

After identifying how to workaround the performance issues on the
undercloud, let's put this back in. Enabling innodb_file_per_table is
important for operators to be able to better manage their databases.

Change-Id: I435de381a0f0e3ef221e498f442335cdce3fb818
Depends-On: I77507c638237072e38d9888aff3da884aeff0b59
Closes-Bug: #1660722

Merge "Use transport_url for rabbitmq connection parameters in heat"

Merge "Add initial profiles for rest of Octavia services"

Merge "add cache to object-expirer pipeline"

Merge "Delete the unnecessary word in numvfs_persistence.pp"

Merge "Fix style nits in contrail manifests"

Revert "set innodb_file_per_table to ON for MySQL / Galera"

This reverts commit 621ea892a299d2029348db2b56fea1338bd41c48.

We're getting performance problems on SATA disks.

Change-Id: I30312fd5ca3405694d57e6a4ff98b490de388b92
Closes-Bug: #1661396
Related-Bug: #1660722

Prepare 6.2.0 release

6.2.0 will be Ocata RC1.

Change-Id: Ie26ab89ea9c90f6c5d01697459855fd8c32b075f

Merge "set innodb_file_per_table to ON for MySQL / Galera"

set innodb_file_per_table to ON for MySQL / Galera

InnoDB uses a single file by default which can grow to be
tens/hundreds of gigabytes, and is not shrinkable even
if data is deleted from the database.

Best practices are that innodb_file_per_table is set to ON
which instead stores each database table in its own file, each of
which is also shrinkable by the InnoDB engine.

Closes-Bug: #1660722
Change-Id: I59ee53f6462a2eeddad72b1d75c77a69322d5de4

Fix style nits in contrail manifests

There are some style nits in the recently merged contrail puppet manifests.

Change-Id: Ice5935105e0323cb55e0d018190e6471ade7324a

Use transport_url for swift-proxy instead of rabbitmq params

These parameters are being deprecated, so we should be using the
transport_url format instead.

Change-Id: I8b7457b6233c4f88af2d7bc1b9304fcccb6edf61

Merge "Re-organizes Contrail services to the correct roles"

Fix test failure caused by change to puppet-octavia

Fixes a test failure caused by Ic38d4f9f9a8e69ffcee6ccc4bba9a9ab0f161d0e
which pulls in a class with a required parameter.

Change-Id: I0740290bff0ea7c4af6e3420775ac3e72871d372

Merge "Fix MySQL service name parameter"

Merge "Add a default rule for dhcpv6 traffic"

Merge "Clean TLS proxy-related setup for neutron-server profile"

Fix MySQL service name parameter

This was wrongly set to service_name while it should have been
server_service_name.

Change-Id: Ia802857cc585bb9b057a02f6a13c16981baa5b76

Merge "Rename controller_admin_vip to controller_admin_host"

Merge "Add AuditD Profile"

Clean TLS proxy-related setup for neutron-server profile

Since the commit this depends on sets it up via hieradata, the
conditionals here are no longer needed.

bp tls-via-certmonger
Depends-On: I9252512dbf9cf2e3eec50c41bf10629d36070bbd

Change-Id: I37275e42763e103b81878b6af07c750a524c5697

nova: deploy basic setup for cells

it's not required in Ocata, let's configure the basic setup for cells.

note: it also cleanup old code that is not valid anymore.

Change-Id: Iac5b2fbe1b03ec7ad4cb8cab2c7694547be6957d

Re-organizes Contrail services to the correct roles

In current setup some Contrail services belong to the wrong roles.
The Contrail control plane can be impacted if the Analytics database has problems.
Furthermore contrail tripleo puppet modules are being refactored to conform to the
new interface of the puppet-contrail modules.

Closes-Bug: 1659560

Change-Id: Id0dd35b95c5fe9d0fcc1e16c4b7d6cc601f10818

Add AuditD Profile

This patch allows the management of the AuditD service and its associated
files (such as `audit.rules`)

This is achieved by means of the `puppet-auditd` puppet module.

Closes-Bug: #1640302
Co-Authored-By: Luke Hinds (lhinds@redhat.com)
Change-Id: Ie31c063b674075e35e1bfa28d1fc07f3f897407b

Add a default rule for dhcpv6 traffic

Via bug https://bugs.launchpad.net/tripleo/+bug/1657108 we need
to zero out the default rules in /etc/sysconfig/ip{6}tables in
the image.
We have done this for ipv4, but when we will do it for ipv6 we
will also need to make sure we add a rule for dhcpv6 traffic
as it is shipped in the iptables rpm. (See
https://bugzilla.redhat.com/show_bug.cgi?id=1169036 for more info)

With this change we correctly get the rule present (aka the first
ACCEPT line. The second line is due to the stock ip6tables rule
I had in my testing):
[root@overcloud-controller-0 ~]# iptables -nvL |grep 546
[root@overcloud-controller-0 ~]# ip6tables -nvL |grep 546
    0     0 ACCEPT     udp      *      *       ::/0 fe80::/64 multiport dports 546 /* 004 accept ipv6 dhcpv6 ipv6 */ state NEW
    0     0 ACCEPT     udp      *      *       ::/0 fe80::/64 udp dpt:546 state NEW

Change-Id: If22080054b2b1fa7acfd101e8c34d2707e8e7864
Partial-Bug: #1657108

Merge "horizon: be more flexible in hiera neutron"

Merge "Use TLS proxy for neutron server's internal TLS"

Merge "Support composable HA for the Ceph rbdmirror daemon"

Merge "Adding congress service"

horizon: be more flexible in hiera neutron

Requiring the neutron mechanism driver from hiera is too rigid, if
Neutron is not deployed in the catalog.
Be more flexible so catalog won't fail if the value is not set in Hiera.

Change-Id: I1475687c4dc53c77e763f42a440355a7c8d014bc
Partial-Bug: #1659662

Support composable HA for the Ceph rbdmirror daemon

Follow up patch for I63da4f48da14534fd76265764569e76300534472
to support composable HA for the Ceph rbdmirror daemon.

Change-Id: I3767bee4b1c7849fa85e71bcc57534b393d2d415

Use TLS proxy for neutron server's internal TLS

This uses the tls_proxy resource added in a previous commit [1] in
front of the neutron server when internal TLS is enabled. Right
now values are passed quite manually, but a subsequent commit will use
t-h-t to pass the appropriate hieradata, and then we'll be able to
clean it up from here.

Note that the proxy is only deployed when internal TLS is enabled.

[1] I82243fd3acfe4f23aab373116b78e1daf9d08467

bp tls-via-certmonger

Change-Id: I6dfbf49f45aef9f47e58b5c0dbedd2b4e239979e

Merge "Ensure basic Ceph configuration is performed by RBD mirror"

Merge "[keepalived] fix netmask for vip"

Adding congress service

Change-Id: Ic74ccd5fa7b3b04ca810416e5160463252f17474
Signed-off-by: Dan Radez <dradez@redhat.com>

Use transport_url for rabbitmq connection parameters in heat

Depends-On: I91b9959a6f71b4e6885e55a568116cc28cf16ddd

Change-Id: I1a152dd0a7e7949ee8d91a6f63425dba2406fcaf

Rename controller_admin_vip to controller_admin_host

Bring change of I53151d4f555d5d161a3e53ce5f022e3bf3b2ffbd into
puppet-tripleo.

Change-Id: I1227956a0389497eedc00e4ec817f52be608dc75
Related-Bug: #1643655

Merge "Adding tacker service"

Merge "Composable HA"

Merge "Remove double include of neutron::server class"

Add initial profiles for rest of Octavia services

Initial profile files for Octavia services.

Partially-implements: blueprint octavia-service-integration
Change-Id: Ic6f945cdf36744382a4a63fcc374d5562964ca68

Composable HA

This commit implements composable HA for the pacemaker profiles.
- Everytime a pacemaker resource gets included on a node,
  that node will add a node cluster property with the name of the resource
  (e.g. galera-role=true)
- Add a location rule constraint to force running the resource only
  on the nodes that have that property
- We also make sure that any pacemaker resource/property creation has a
  predefined number of tries (20 by default). The reason for this is
  that within composable HA, it might be possible to get "older CIB"
  errors when another node changed the CIB while we were doing an
  operation on it. Simply retrying fixes this.
- Also make sure that we use the newly introduced
  pacemaker::constraint::order class instead of the older
  pacemaker::constraint::base class. The former uses the push_cib()
  function and hence behaves correctly in case multiple nodes try
  to modify the CIB at the same time.

Change-Id: I63da4f48da14534fd76265764569e76300534472
Depends-On: Ib931adaff43dbc16220a90fb509845178d696402
Depends-On: I8d78cc1b14f0e18e034b979a826bf3cdb0878bae
Depends-On: Iba1017c33b1cd4d56a3ee8824d851b38cfdbc2d3

Adding tacker service

Change-Id: I3d6bbc05644e840395f87333ec80e3b844f69903

Remove double include of neutron::server class

This class was being included in the same way in two different branches
of the code which could be joined in the initial branch (or if
statement).

Change-Id: Iee3c1663a2fe929b21a9c089d89b721600af66bd

Ensure basic Ceph configuration is performed by RBD mirror

Previously we missed to perform the basic Ceph client configuration
on a node where only the RBD mirror service was deployed.

Change-Id: Ie6a4284a88714bcee964a38636e12aa88bb95c9d
Co-Authored-By: Michele Baldessari <michele@acksyn.org>
Related-Bug: #1652177

[keepalived] fix netmask for vip

For pacemaker we ensure netmask of virtual IP to 64bit for IPv6 and
32bit for IPv4. We should have feature parity in keepalived setup.[1]
The issue is that puppet picks first IP orf ifconfig output as and
interface IP. In case of IPv6 keepalived would add new IP to
interface with netmask 128 causing interface_for_ip to fail on
second puppet run.

[1] - https://github.com/openstack/puppet-tripleo/blob/master/manifests/pacemaker/haproxy_with_vip.pp

Closes-Bug: #1659309

Change-Id: Icb0c9a8d51a9bfcdc4b2caef9e52fdeb6f634cba

Fix wrong hiera key in ceph_rbdmirror

There is a typo in the bootstrap check which will lead to:
Could not find data item ceph_rbdmirror_bootstrap_short_node_name in any
Hiera data file and no default supplied at
/etc/puppet/modules/tripleo/manifests/profile/pacemaker/ceph/rbdmirror.pp

We need to be using the correct one:
$ hiera ceph_rbdmirror_short_bootstrap_node_name
overcloud-remote-0

Change-Id: Ic343e5f99e48360bdd2d2989781a4b6ca484e8fc

Merge "Clean TLS proxy-related setup for glance api profile"

Merge "Make sure we bind the rabbit inter-cluster to a specific interface"

Merge "pacemaker remote profile support"

Clean TLS proxy-related setup for glance api profile

Since the commit this depends on sets it up via hieradata, the
conditions here are no longer needed.

bp tls-via-certmonger
Change-Id: I66956f0b85e8e3bf1ab9562221d51d51c230b88e
Depends-On: I693213a1f35021b540202240e512d121cc1cd0eb

Merge "Use TLS proxy for Glance API's internal TLS"

Merge "updates to collectd support"

pacemaker remote profile support

This support enables a base profile called pacemaker_remote which will
allow the operator to automatically configure the pacemaker_remote
service on such nodes. This manifest also automatically adds any
pacemaker_remote nodes to the pacemaker cluster.

Depends-On: I0c01ecb7df1a0f9856fdc866b9d06acf0283fa4f
Depends-On: Ic0488f4fc63e35b9aede60fae1e2cab34b1fbdd5
Change-Id: I92953afcc7d536d387381f08164cae8b52f41605

Merge "Add retries to the ::pacemaker::stonith property"

Merge "Implement Nova ec2api profile"

Merge "Remove last bits of Glance Registry"

Merge "Add Ceph RBD mirror Pacemaker profile"

Use TLS proxy for Glance API's internal TLS

This uses the tls_proxy resource added in the previous commit [1] in
front of the Glance API server when internal TLS is enabled. Right
now values are passed quite manually, but a subsequent commit will use
t-h-t to pass the appropriate hieradata, and then we'll be able to clean
it up from here.

Note that the proxy is only deployed when internal TLS is enabled.

[1] I82243fd3acfe4f23aab373116b78e1daf9d08467

bp tls-via-certmonger
Depends-On: Id5dfb38852cf2420f4195a3c1cb98d5c47bbd45e

Change-Id: Id35a846d43ecae8903a0d58306d9803d5ea00bee

Remove last bits of Glance Registry

Glance Registry has been removed in TripleO. So we can clean
puppet-tripleo and remove last bits that used to deploy this service.

Change-Id: Iea8f6340349ab366606205305a3ec9a6e4f11ba6

Merge "Add haproxy firewall rules for galera and redis"

Merge "Add a noop_resource function"

Delete the unnecessary word in numvfs_persistence.pp

TrivialFix

Change-Id: I4c67bedd2792c6fe4a2a6bfacd15cf27df6c5559

Add a noop_resource function

A function to create noop providers (set as the default) for the named
resource. This works alongside of 'puppet apply --tags' to disable
some custom resource types that still attempt to run commands during
prefetch, etc.

Change-Id: Icabdb30369c8ca15e77d169dc441bee8cfd3631f

Merge "Add support for fence_ironic fencing agent."

Merge "cinder: move glance params into common"

Merge "Fix typo in endpoint.pp"

Merge "Move nova::placement to common nova manifest"

Implement Nova ec2api profile

Change-Id: If4b091e1ca02f43aa9c65392baf8ceea007b7cfb

Merge "Add base profile for Octavia services"

Merge "Remove unused variable in certmonger/mysql manifest"

Make sure we bind the rabbit inter-cluster to a specific interface

Currently the inter-cluster communication port listens to all ip
addresses:
tcp 0 0 0.0.0.0:25672 0.0.0.0:* LISTEN 25631/beam.smp

In order to limit it to listen only to the network assigned to rabbitmq
we need to add the following:
{kernel, [
    ...
    {inet_dist_use_interface, {172,17,0,16}},
    ...
  ]}

In order to do the conversion from an ip address to the Erlang
representation we add a function that takes a string and returns a
converted output. The (~400 randomly generated) IPv6/4 addresses at [1]
have been parsed both via erl's built-in inet:parse_address() function
and our ruby implementation. All converted ip addresses resulted in the
same output [2], [3]. The only difference is that Erlang's parse_address()
considers network ip addresses (e.g. 10.0.0.0) invalid whereas the ruby
function does not. This should not be a problem as the use case here is
to bind a service to a specific ip address on an interface and if
anything we likely prefer the less strict behaviour, given that at least
in theory it is perfectly valid for an interface to have a network
address assigned to it.

[1] http://acksyn.org/files/tripleo/ip-addresses.txt
[2] http://acksyn.org/files/tripleo/ip-addresses-ruby.txt
[3] http://acksyn.org/files/tripleo/ip-addresses-erl.txt
Change-Id: I211c75b9bab25c545bcc7f90f34edebc92bba788
Partial-Bug: #1645898

Fix typo in endpoint.pp

TrivialFix

Change-Id: I8ea2f108d6f98167217b31284c84dbdf23f55f36

cinder: move glance params into common

glance params are also used by cinder-volume. This patch aims to use
cinder::glance in common roles for cinder, so we can split cinder api
and cinder volume.

Depends-On: Id81c029318016068481dd614ed62cc4bfaf0f3e8
Change-Id: I9703efb38c2a3166c7f21c5c1b942f33abb9e76c

Move nova::placement to common nova manifest

nova::placement needs to be declared on more than placement api node,
because credentials are used by different services (at least
nova-compute now).
This patch moves the class to base/nova.pp, at the same step.
So compute nodes will have the credentials and will be able to use
Placement API on multinode environments.

Change-Id: Iada8e9fcccec7dbfe7ac0ec0f9ec6eac1581290e

Merge "Adds etcd"

Merge "Implement NTP profile"

Add base profile for Octavia services

Adds initial base profile and profile for API service.

Partially-implements: blueprint octavia-service-integration
Change-Id: I77783029797be4fb488c6e743c51d228eba9c474

Implement NTP profile

This puppet manifest will install and configure by default
the NTP service. It will also make sure chrony is purged, because it's
present on the EL7 images.

Change-Id: If3cf7d9690001b051465ea25cf8a8c3bc6f7c33a

Add retries to the ::pacemaker::stonith property

Let's set a default number of retries also for the stonith
property creation. Just like we do for most of the composable
HA resource creation.

Change-Id: Ie6e19cc838a3f45100f6c98a350bdf6a37d40590
Depends-On: I20098c5d69cde356fe79f6d8dbdc03ae42ecb3ef

Adds etcd

etcd is used by networking-vpp ML2 driver as the messaging mechanism. This
patch adds etcd service which can be used by other services.

Implements: blueprint fdio-integration-tripleo

Change-Id: Idaa3e3deddf9be3d278e90b569466c2717e2d517
Signed-off-by: Feng Pan <fpan@redhat.com>

Use network entries for nova placement

Having these available from t-h-t, we should be able to use these now.

Change-Id: I7272df25c4fdba152fe15d40444311bc35ace4d9
Depends-On: Id0d34c7c3939ee81126ffd26d0658c0a87805a44

Merge "Remove legacy flag and use composable interface"

Add Ceph RBD mirror Pacemaker profile

This change adds a profile for the Ceph RBD mirror service, which
should be managed by Pacemaker to make sure there is always a single
instance running.

Change-Id: Ic63dc5cffece38942d305f538f71dd58a5d50789
Partial-Bug: #1652177

Remove legacy flag and use composable interface

We dont need this flag anymore as we will disable api
using composable interface instead.

See I67900f7e6816212831aea8ed18f323652857fbd3

Closes-bug: #1656364

Change-Id: Ib6aea02bde6ad7e5223336579f0a99d6cd3ee98f

updates to collectd support

Based on Steve Hardy's comments in
https://review.openstack.org/#/c/413748/, we need to move handling of
the list of plugins out of the heat templates and into puppet.  This
module now uses the service_names variable to look up information on
per-service collectd plugins.

Change-Id: Ie5fba01e1f91ffdc39eb0eb1be9b1464c797b04f

Do not depend on bootstrap_nodeid for any pacemaker profile

When we create a pacemaker resource it must happen from a single node.
If it happens from multiple nodes an immediate error will be returned by
pcs.

For the pacemaker roles we enforce this by leveraging the recently
introduced <SERVICE_NAME_bootstrap_short_node_name> which gives us
the first hostname per-service, regardless of the role.
(introduced via I03e8685f939e8ae1fcd8b16883b559615042505d)

With this approach if a pacemaker service belongs to two different
roles (say role Controller on node A and role galera on node B), it
will only create the resource from one of the two and not both (which
would return an error).

Only setting Partial-Bug for this one, because it addresses the issue
from the pacemaker resource creation POV (which is always affected). But
the issue itself is a race that we're theoretically affected by since
the composable roles work landed. While I have tried to fix the more
general case in previous attempts, I think it is best if we start a
discussion on how to fix it, because each approach has a bunch of
potential drawbacks and is quite invasive on how we do things. A
discussion slot for this has been proposed for the Atlanta PTG.

Change-Id: I662398cab60d523d204b57a5674ca8f5c0f2e68a
Partial-Bug: #1615983