Enable haproxy statistics unix socket

By enabling the statistics socket we allow the collection
of statistics over time for haproxy.

This socket is set to "user" level, so this socket is limited
to read-only. The "stats timeout" line is optional, but since the
default timeout of the stats socket is 10s, we set this higher.

Change-Id: I22d3ab771e981be0d2c74b60443d276973bc1639

Merge "Move heat domain/user creation into keystone profile"

Merge "pacemaker: increase timeouts for rabbitmq and redis"

Move heat domain/user creation into keystone profile

This needs to happen on the node running keystone, or things break
when you try to deploy e.g the heat_engine service on a non Controller
role.  We check the enabled flag for heat engine so this only happens
if the heat_engine service is running on some (any) role.

Partial-Bug: #1631130
Change-Id: Ib088a572b384b479f51d56555734d78ab840a1f3

Merge "Deploy nova over Apache httpd"

Merge "Add part_power and min_part_hours for Swift"

Merge "Only run ceilometer::db::sync on bootstrap node"

Add part_power and min_part_hours for Swift

Change-Id: I78049105adf52226d47cc6764b1ba6c2c06e91e5
Related-Bug: 1631926

Merge "Ensure presence of pacemaker restart directory."

Ensure presence of pacemaker restart directory.

Currently the /var/lib/tripleo/pacemaker-restarts directory is created
only when base/pacemaker.pp file is included in the manifest. There is a
notification that ensures precedence order and trigger the touch.

The trigger and the dependency on the base/pacemaker.pp should not be
required as someone using the tripleo::pacemaker::resource_restart_flag
would expect the file to be created no matter what.

For instance in the Cinder upgrade in the convergence step has this
defined:

        Cinder_config<||> ~> Tripleo::Pacemaker::Resource_restart_flag["${::cinder::params::volume_service}"]

but in the convergence step, the base/pacemaker.pp is not included and
the above trigger fails as the directory is not created.

It looks the same for manilla.pp.

This patch removes the trigger and ensures the directory is created when
needed.

Change-Id: Ic3aa82c818662e9e88e21c8381d657adef5b43ac
Closes-Bug: #1632232

Deploy nova over Apache httpd

This adds the necessary resources to the manifest to migrate nova
to run over httpd. The service name will be moved to t-h-t in a
subsequent commit, but since this patch depends on t-h-t, we try to
avoid circular dependencies of repos.

Change-Id: I91d430a3871672f90b0f885736f067ddae3c238c
Depends-On: I57fb20cf0d58b3376243ba4aeb04e995e7152ce3

Merge "Fix eqlx chap password"

Merge "Add versioned_writes to Swift proxy config"

pacemaker: increase timeouts for rabbitmq and redis

When we observe the 'stop timeout' values of pacemaker resources:
rabbitmq and redis, they are set to 90s. But for all other services, it
is set to 200s.
The overcloud deployment sometimes fails due to this with the error:
Error: Could not complete shutdown of rabbitmq-clone, 1 resources
remaining
Error performing operation: Timer expired

This patch updates the timeout for Redis and RabbitMQ to avoid this
error.

Change-Id: I8a3b3951a896ee3e8e5e09778e8ea4717e76a1b4

Merge "Update websocket service name in config template"

Add versioned_writes to Swift proxy config

Tempest expects object versioning to be enabled by default in Swift;
if not it has to be disabled explicitly in the Tempest config.

This is a commonly used middleware, therefore it should be enabled
in the overcloud proxy nodes as well.

Closes-Bug: 1632215
Change-Id: I07a206473ff7939749e3eba1dfe3ea8c4526eb5c

Merge "Fetch internal certificates for HAProxy based on network"

Merge "Use Heat role *_enabled hiera to check Manila backends"

Fix eqlx chap password

The hiera key generated by THT is eqlx_chap_password and not
eql_san_password.

https://github.com/openstack/tripleo-heat-templates/blob/master/puppet/extraconfig/pre_deploy/controller/cinder-eqlx.yaml#L63

Change-Id: Ic062d9060f0ce437336e2bd6aaca3887fc33c8cf
Closes-Bug: #1631527

Only run ceilometer::db::sync on bootstrap node

The ceilometer::db::sync is included by default in ceilometer::db but we
only want it to run on the bootstrap node.  This change passes the
sync_db parameter to ceilometer::db to manage the db sync process rather
than trying to manage the inclusion of ceilometer::db::sync within the
profile class.

Change-Id: Ib56db1a90dd6fbfe7582fc57b7728df81942cce2
Closes-Bug: #1629373

Merge "Release 5.3.0 (RC3)"

Release 5.3.0 (RC3)

Release Newton RC3 5.3.0
Change-Id: I1b367dcaba4c2c0bffa9eae0b81ee81f1676d754

Use Heat role *_enabled hiera to check Manila backends

Aligns the way how we check for enabled backends in
pacemaker/manila.pp with what we did in base/manila/api.pp with [1].

The benefit is that we don't need to emit from the templates
custom hiera.

1. I86ba8b9d5872c0f1a94e74215e97b796ad129bfb

Change-Id: I04e28a95e8d69a24cd3df109bf1802bfcbd941db

Set enabled_share_protocols based on enabled backends

When deploying manila with cephfs, share creation fails because
'enabled_share_protocols' sticks to NFS,CIFS and does not get updated
with CEPHFS. This change aims at fixing it by building the list of
enabled protocols based on the list of enabled backends.

Co-Authored-By: Tom Barron <tbarron@redhat.com>
Closes-Bug: 1630564
Change-Id: I86ba8b9d5872c0f1a94e74215e97b796ad129bfb

Merge "Add ceph profile rspec testing"

Merge "Add ceilometer profile rspec testing"

Merge "Add aodh profile rspec testing"

Merge "Enable usage of "short names" for Ceph cluster"

Update websocket service name in config template

The name was changed to "zaqar-websocket" recently. Having the old name
in the configuration file leads to errors and confusion when overriding
URLs, as the override won't get picked up with the old name.

Change-Id: I7acf900d094e41862958b3cddbb66ff0d8a3e46f
Closes-Bug: #1630965

Merge "Enable usage of "short names" for Galera cluster"

Merge "Explicitly use Keystone v2 endpoint in the UI"

Add ceph profile rspec testing

This change adds rspec testing for the ceph profiles in puppet-tripleo.

Change-Id: I08954e011848d6b747735f11b3cbff5707460c26

Fetch internal certificates for HAProxy based on network

The service profile in HAProxy has the capability of creating
certificates based on a map. The idea is to standardize this, as
some of those certificates should match certain networks the services
are listening on (with the exception of the external network which is
handled differently and the tenant network which doesn't need a
certificate). So, based on which network a certain service is
listening on, we fetch the appropriate certificate.

bp tls-via-certmonger

Change-Id: I89001ae32f46c9682aecc118753ef6cd647baa62

Merge "Use service-specific servernames for haproxy"

Enable usage of "short names" for Ceph cluster

We're not able to use FQDNs yet, so to work around this, we give
precedence to a "short name" list we'll get from t-h-t. We can
migrate to using FQDNs in the next cycle.

Change-Id: Ic6fec1057439ed9122d44ef294be890d3ff8a8ee
Related-Bug: #1628521

Merge "Change rabbitmq queues HA mode from ha-all to ha-exactly"

Explicitly use Keystone v2 endpoint in the UI

The UI expects a Keystone endpoint URL that includes the version
(without it, it is not possible to log in). Looking at the
dist/tripleo_ui_config.js.sample configuration sample in the tripleo-ui
repository, the current expectation is a v2.0 URL so let's use that for
now.

Change-Id: I4ca04b16251fbee264cd4ce5e5433c2c1cb6d2f0
Closes-Bug: #1630546

Use service-specific servernames for haproxy

Right now we're hardcoding the server names for the services to be
the controllers. This is problematic if we start  using custom roles
for services, which listen on nodes that are not controllers.

We already have the server names for each service, so using this
mapping instead fixes the issue.

Change-Id: Ic4b65edb3dc1b75abbc3421a87cab97425b058c4
Closes-Bug: #1629098

Enable usage of "short names" for Galera cluster

We're not able to use FQDNs yet, so to work around this, we give
precedence to a "short name" list we'll get from t-h-t.

Change-Id: I4ef7786474c229d5212a0deb2ca02ee992b030d8
Related-Bug: #1628521

Change rabbitmq queues HA mode from ha-all to ha-exactly

It turns out that reducing number of rabbitmq queues in cluster
significantly improves performance of cluster especially in the case of
failover recovery time. Right now the cluster uses ha-all mode for rabbitmq
queues.

It is best to change this to "ha-exactly" mode and reduce the number
of queue copies to ceil(N/2) where N is number of controllers in the
cluster - so in typical scenario of 3 controller It would be 2 by
default.

It does not make much sense to keep the copies of queues over whole
cluster since if the quorum of nodes is lost then the rest of cluster
nodes will be stopped anyway. We let the user override this with a
parameter.

I.e. for a 3 node controlplane cluster we will go from this:
pcs resource show rabbitmq
 Resource: rabbitmq (class=ocf provider=heartbeat type=rabbitmq-cluster)
  Attributes: set_policy="ha-all ^(?!amq\.).* {"ha-mode":"all"}"

To this:
pcs resource show rabbitmq
 Resource: rabbitmq (class=ocf provider=heartbeat type=rabbitmq-cluster)
  Attributes: set_policy="ha-all ^(?!amq\.).* {"ha-mode":"exactly","ha-params":2}"

According to Marin Krcmarik's testing recovery time from failure was
reduced significantly.

Co-Authored-By: Marian Krcmarik <mkrcmari@redhat.com>
Change-Id: Ib62001c03e1e08f58cf0c6e0ba07a8879a584084
Partial-Bug: #1628998

Cleanup the firewall logic.

We added code in t-h-t to strip empty services from the service_names
list. (These are often the result of a service set to OS::Heat::None).

As such we can now drop this puppet reject statement.

Change-Id: Ie66f14f183de7e44a1f69af862f7d4be9a14c904

Merge "Fix the timeout for pacemaker systemd resources"

Clean out UI httpd configuration file

When updating the package with yum directly, a new httpd config file is
created with a different name than the one used by Puppet, causing
httpd to fail. Cleaning out the package config file and keeping it
around means it won't get overwritten on update, and is the way other
projects such as puppet-horizon handle this.

Change-Id: I539729ce4cd0898f8b0f3f26266e4e6d55b99e37
Closes-Bug: #1628983

Merge "Use FallbackResource instead of Rewrite for UI"

Fix the timeout for pacemaker systemd resources

Back in the Mitaka cycle via the change If6b43982c958f63bc78ad997400bf1279c23df7e
we made sure that the default start and stop timeouts for pacemaker
systemd resources is 200s (>= twice the default 90s DefaultTimeoutStopSec
in systemd). We did this change by setting puppet resource defaults for
the Pacemaker::Resource::Service class:

Pacemaker::Resource::Service {
  op_params => 'start timeout=200s stop timeout=200s',
}

The problem is that after the composable services rework, this does not
work anymore and the pacemaker systemd resources that still exist do not
have these timeouts set.

We want to move away from resource defaults for this because its results
are dependent on the inclusion order which in tripleo is not guaranteed
any longer (https://docs.puppet.com/puppet/latest/reference/lang_scope.html#scope-lookup-rules)

The only services affected in Newton are: cinder-volume,
cinder-backup, manila-share, haproxy. I preferred fixing all the
pacemaker resources because it seems the cleanest and most logical
commit.

Change-Id: If89a95706514e536a7a2949871a0002c79b6046e
Closes-Bug: #1629366

Merge "Add swift proxy for ceilometer middleware"

Merge "Cinder: Add iSCSI protocol parameter"

Merge "Added X-Forwarded-Proto headers for horizon"

Add ceilometer profile rspec testing

This change adds rspec testing for the ceilometer profiles. While
writing these tests, the tripleo::profile::base::ceilometer::collector
class needed to have the hiera lookups moved to class parameters to
allow for testing the possible options around the database backend.
These tests add coverage for ipv4 and ipv6 configurations for the
collector profile as well as excluding mongodb on the backend.

Change-Id: I1abae040104e8492a9fe266de74080e1e7701731

Add aodh profile rspec testing

This change adds rspec testing for the aodh profile and serves as an
example as to how to add in spec testing using hieradata to provide some
required parameters.  This testing adds improved coverage for
expectations around computed configuration items as well as for
conditions around the steps within the tripleo deployment

Change-Id: Ic763a544289a222fea97020a98821c1e375651a3

telemetry: normalize coordination_url

Normalize coordination_url for Telemetry services, so we can deploy them
with IPv6.

Change-Id: Ic6de09acf0d36ca90cc2041c0add1bc2b4a369a5
Partial-Bug: #1629279
Depends-On: I038e2bac22e3bfa5047d2e76e23cff664546464d

Use FallbackResource instead of Rewrite for UI

The original configuration produced a 400 error for all requests.  The
new FallbackResource directive accomplishes our task in a more elegant
fashion.

Change-Id: Ib5d77d158e73acc63d5c0c85d6aa6d99d2176333
Closes-Bug: 1628484

metadata.json: prepare RC2 release

Bump to 5.2.0 which is RC2 release.

Change-Id: If5e650c52fa3d7701d3079712a9cc8db3a431e36

Merge "Move db syncs into mysql base role"

Move db syncs into mysql base role

This patch moves the various DB syncs into the MySQL role.

Database creation needs to occur on the MySQL server to
avoid permission issues.

This patch also moves database creation to step 2 so we can
guarantee that all per-service databases exist at this time.
This avoids complex ordering needed during step 3 where
services, on different hosts, can run their own db sync's
in a distributed fashion.

Change-Id: I05cc0afa9373429a3197c194c3e8f784ae96de5f
Partial-bug: #1620595

Merge "Add pameter for gmcast.listen_addr configuration"

Merge "Make mysql bind-address configurable"

Merge "Move inclusion of ::manila::db::mysql in manila/api profile"

Add pameter for gmcast.listen_addr configuration

having an actual name for that configuration will allow us to pass a
more proper name via t-h-t.

Change-Id: Iea4bd67074824e5dc6732fd7e408743e693d80b3

Merge "Fix Swift manifest for Puppet4 deployment"

Make mysql bind-address configurable

It used to be hardcoded that the bind-address was always coming from
the $::hostname fact. This is wrong, as it disregards where we have
configured the mysql address. This commit actually makes it
configurable, so we'll be able to set it via hieradata.

On the other hand, we use the hiera key that we already set
'mysql_bind_host' as a default; if, for some reason, that's
unavailable then we fall back to $::hostname.

Related-Bug: #1627060
Change-Id: I316acfd514aac63b84890e20283c4ca611ccde8b

Add swift proxy for ceilometer middleware

swift proxy has already been updated to use updated
ceilometermiddleware as indicated here [1]. Include
it in the proxy class.

[1] https://github.com/openstack/puppet-swift/commit/e8ad981eff0f97c24a53197c42caf350627d3c9f

Change-Id: Ie49f4a750368ff174b23b8d6baa743d0956d727e

Merge "Switch puppet-tripleo to use puppet-openstack_spec_helper"

Merge "Add in rspec-puppet-facts support"

Merge "Add FQDN testcase in swift proxy profile rspec tests"

Merge "Add support for rabbit hosts to mistral"

Merge "certmonger: improve orchestration for puppet4"

Move inclusion of ::manila::db::mysql in manila/api profile

In puppet-manila it is the api service performing db sync, not
scheduler. This change moves ::manila::db::mysql (which creates
the empty database and users) in the tripleo manila/api profile.

Also moves rabbit config into a general manila base profile as
that would be needed by the scheduler service as well.

Change-Id: I2b537f735b8d1be8f39e8c274be3872b193c1014

Add support for rabbit hosts to mistral

The mistral puppet did not have support for configuring the rabbit hosts.
This change adds that support.

Change-Id: I6cb2cbf4a2abf494668d24b8c36b0d525643f0af

Switch puppet-tripleo to use puppet-openstack_spec_helper

Align puppet-tripleo with other Puppet OpenStack modules to use
puppet-openstack_spec_helper.

Here are the benefits:

- Allow to use Depends-On between Puppet OpenStack modules and
  puppet-tripleo, and unit tests will work correctly with dependencies.
- Use the Puppet OpenStack gemspec file that handle gems dependencies to
  test the module.
- Allow to re-use ruby helper that Puppet OpenStack modules have in unit
  tests, to avoid duplicated code.
- Don't manage .fixtures.yml file, it will be generated by Puppet
  OpenStack tooling. TripleO dependencies will live in Puppetfile_extras.

Change-Id: Ic66e9f872c57545327a9fb4b8ae86fbf0abbd8be

Add in rspec-puppet-facts support

This change pulls in rspec-puppet-facts to provide the basic default
facts for puppet-tripleo rspec tests. rspec-puppet-facts provides an
easy to use interface to allow for the same set of tests to be executed
with multiple sets of operating system facts. In most cases this
includes defaults for Debian/RedHat based systems. In puppet-tripleo's
case this is just RHEL/CentOS. We are removing the Fedora listing from
the metadata.json as we only support RHEL and CentOS for tripleo.
This change also updates the existing rspec tests to leverage
rspec-puppet-facts to be more consistent with how facts are defined.

Change-Id: I0ddc71799d74ee95b9828aea6a8dcb4abb4e4e62

Merge "Manage tripleo-ui configuration files with puppet"

Fix Swift manifest for Puppet4 deployment

1) swift/ringbuilder: seed must be a String
Because we use validate_re in puppet-swift and puppet4 requires the
regex to be a string, not an integer.

2) Fix Swift package name
In puppet4, we need the resource title, not the resource name.

Change-Id: I50cea96d45e0eb46c19040d9a7105ab72c2dbef7

Merge "swift: normalize memcache servers IP addresses"

Add FQDN testcase in swift proxy profile rspec tests

Add more coverage in our unit testing for FQDNs.

Change-Id: I74859cdecc0d81138b2fe986883c4f7c49b8cab3

Merge "Fix puppet-lint in composable contrail"

Merge "Fixup manila-cephfs native backend defaults"

certmonger: improve orchestration for puppet4

The extract-and-trust-ca actually needs /var/lib/certmonger/local/creds
file to be created, which is created when certmonger is started, not
when package is installed.
This patch change the exec dependency to run it only when service is
started.
Also, since the service create the file, let's relax the Exec a little
bit by allowing to retry 5 times after 1s break in case the Exec fails,
for example if service takes more than 5 seconds to create this file.
It will avoid us some race condition in the deployment.

Change-Id: I4cf4a04bddb8f042e8e8f7e1d1b69f846c533e3b

swift: normalize memcache servers IP addresses

In the case of memcache servers are IPv6, make sure brackets set in the
way we construct the list of memcache server + memcache port parameter.

Also add unit-tests to test that the output is what we want in the
configuration.

Depends-On: I8d361ce9cfcfe6a3f8592b2b7991971a3c748c75
Closes-Bug: 1625335
Change-Id: I9fb8168d8fb56c9d8465d58a45fd8c6edfee6fdd

Fixup manila-cephfs native backend defaults

The puppet-tripleo side for manila-cephfs landed without specifying
defaults for all class params [1] so when cephfs isn't enabled
e.g. only generic, then you will get errors for those params. See
review comments at [2] for reports of this.

This will fixup the manila-cephfs puppet-tripleo side to be more
in line with the tidy up adding netapp at [3]. The config is all
moved tripleo-heat-templates side. The tht review for this
is at https://review.openstack.org/#/c/358525/ and that will now
depend on this review.

[1] https://review.openstack.org/#/c/354047/
[2] https://review.openstack.org/#/c/354019/
[3] https://review.openstack.org/#/c/354014/
Change-Id: I918f6f23ae0bd3542bcfe1bf0c797d4e6aa8f4d9

Merge "Terminate Zaqar websocket endpoint in HAProxy"

Terminate Zaqar websocket endpoint in HAProxy

Note that there was a need to modify different timeouts due
to the nature of how websockets work. The source where the
reasoning and value came from is listed as a comment in the
code.

Related-Bug: #1625448
Co-Authored-By: Brad P. Crochet <brad@redhat.com>
Change-Id: I9de77d5f692c1c9d04e3c59c5de5312e63f81aed

Merge "Swift add_devices.pp IPv6 handling"

Merge "Fix dependencies for HAProxy when certmonger is used"

release 5.1.0

Change-Id: I89fcd94460c995a18fd35800b5736d70687c4f42

Merge "mysql: never add brackets to mysql_bind_host"

Merge "Wait for MongoDB connections before creating replset"

Wait for MongoDB connections before creating replset

Sometimes the mongodb_replset resource fails with:

Could not evaluate: Can't find master host for replicaset tripleo.

This issue is intermittent so the fix cannot be perfectly verified, but
the assumption is that if we wait for MongoDB to be reachable on all
nodes, it will assure that the members will appear to the puppet module
as alive when creating or verifying the replset. If the validation
fails, it should help us uncover which of the members was causing
trouble.

Change-Id: I0bcd0d063a7a766483426fdd5ea81cbe1dfaa348
Closes-Bug: #1624420

Swift add_devices.pp IPv6 handling

Add brackets to IPv6 addresses before forming $object from $base

Change-Id: I4568d538561a0102b69f331a122d4989333a3bfa
Closes-Bug: #1623096

Merge "Add manila-netapp backend to manila class and tidy up generic"

Add manila-netapp backend to manila class and tidy up generic

This adds support for the manila-netapp backend. The backend
specific config is set tht side. So this change also
tidies up the manila generic config, which is unnecessarily
being duplicated here
( see https://review.openstack.org/#/c/354019/ )

Change-Id: Ic6f8e8d27ca20b9badddea5d16550aa18bff8418

Manage tripleo-ui configuration files with puppet

This commit ensures the tripleo-ui configuration files are present and
are matching the environment.

Change-Id: I0deeffa9026b1f5cd36a9810aaee7832e31c3c93

mysql: never add brackets to mysql_bind_host

Don't add brackets on mysql_bind_host parameter in Galera config.
Having brackets from this parameter works with old version of
Galera but not newest one.
So let's remove them at all, so we can safely upgrade Galera in RDO.

Change-Id: Ic904d4efda162f18ec8dffb91c2f383f54361f41
Closes-Bug: #1622755

Fix dependencies for HAProxy when certmonger is used

Installing the undercloud with generate_service_certificate=True
fails if HAProxy is not pre-installed. This is due to missing
dependency setting on our puppet manifests. We need to specify that
the PEM file needs to be written only if the haproxy user and group
exist (which comes from the package) and that the haproxy frontend
configuration needs to be notified if there are changes in the
certificates.

Change-Id: Iba3030e4489eb31f9c07ab49913687d8b595a91b
Closes-Bug: #1623805

Fix wrong flag name for VNC Proxy in HAProxy

The name was wrong, and so fixing it will actually enable VNC Proxy
when the service is enabled.

Change-Id: I65e90479fd33844b4dcd70c19cec3cd838aeff69
Closes-Bug: #1623796

Merge "Add validations profile for tripleo"

Merge "Enable X-Forwarded-Proto for manila"

Merge "Fill DNS name for haproxy certificates"

Merge "Fix value of ctlplane fqdn fact"

Add validations profile for tripleo

This adds the tripleo::profile::base::validations profile which sets up
the `validations` user and installs the openstack-tripleo-validations
package.

Change-Id: Ib2b1ddcda3a41cb7263171d3024f05ba8bfd2f28