Merge "Fix bogus parameters in get_param" into stable/ocata

Merge "N->O Manual puppet commands have the right modulepath." into stable/ocata

Merge "Run token flush cron job hourly by default" into stable/ocata

Merge "Update Dell EMC Cinder back end services" into stable/ocata

Merge "Add composable role support for NetApp Cinder back end" into stable/ocata

Merge "Replace references to the 192.0.2 network" into stable/ocata

Merge "N->O upgrade, fix wrong parameters to nova placement." into stable/ocata

Merge "Use comma_delimited_list for token flush cron time settings" into stable/ocata

N->O Manual puppet commands have the right modulepath.

In two places during upgrade we manually trigger puppet.

There can be a problem when new puppet modules are added, and their
corresponding symlinks in /etc/puppet/modules are not created during
the installation as their are installed in
/usr/share/openstack-puppet/modules.  To prevent the issue tripleo set
modulepath in the templates.

We must use the same modulepath to make sure that we don't fail
because of missing module in the manual puppet run.

This particulary happens when you upgrade from M->N->O, as the base
image in Mitaka doesn't have the proper symlinks and they are not
created during the installation of the package.

Closes-Bug: #1684587

Change-Id: I79df6ea33f1c58e13309176a6de41b7572541fd6
(cherry picked from commit 79c2d0f3d411da9e57731d9da79d25a3e0364eb2)

Merge "Touch /etc/httpd/conf.d/ssl.conf" into stable/ocata

N->O upgrade, fix wrong parameters to nova placement.

According to [1] we need os_region_name, not region_name.  Furthermore
the os_interface is configured as well.  The hard check on this
parameter was introduced in ocata[2], explaining why the newton version
did not chock on it.

[1] https://docs.openstack.org/ocata/config-reference/compute/config-options.html
[2] https://github.com/openstack/nova/commit/d486315e0

Closes-Bug: #1684058
Change-Id: If6118bf03e832fe3fa5ea4fcb1b436afd2adf80a
(cherry picked from commit 88a3168b3019f7c8232c14b95d4c7c6fb5080f03)

Merge "Decouple Swift ringbuilding logic" into stable/ocata

Merge "Modify pci_passthrough hiera value as string" into stable/ocata

Run token flush cron job hourly by default

Running this job once a day has proven problematic for large
deployments as seen in the bug report. Setting it to run hourly
would be an improvement to the current situation, as the flushes
wouldn't need to process as much data.

Note that this only affects people using UUID as the token provider.

Change-Id: I462e4da2bfdbcba0403ecde5d613386938e2283a
Related-Bug: #1649616
(cherry picked from commit 65e643aca2202f031db94f1ccd3d44e195e5e772)

Use comma_delimited_list for token flush cron time settings

This allows us to better configure these parametes, e.g. we could set
the cron job to run more times per day, and not just one.

Change-Id: I0a151808804809c0742bcfa8ac876e22f5ce5570
Closes-Bug: #1682097
(cherry picked from commit df36f221dd402a5b93585a6851fb1eb43de91967)

Touch /etc/httpd/conf.d/ssl.conf

To ensure that yum update passes without issues we touch ssl.conf.
Proper fix is https://review.openstack.org/#/c/456712/

Depends-On: Ic5a0719f67d3795a9edca25284d1cf6f088073e8
Closes-Bug: #1682448
Resolves: rhbz#1441977
Change-Id: I73e5272c64df4aa5900f544a5d9f0670544ca679

Fix bogus parameters in get_param

Change-Id: I1b5658efaaa26c473ceef184a962ec320f267ffe
Signed-off-by: Bogdan Dobrelya <bdobreli@redhat.com>
(cherry picked from commit e88dfbc4ca115be9522ee0fc0bdb5b60f9ddd7a7)

Merge "Add params to tweak memory limit on mongodb" into stable/ocata

Merge "Update ceph-rgw acccepted roles to fix OSP upgrade" into stable/ocata

Add params to tweak memory limit on mongodb

The puppet-tripleo change was added in
Ie9391aa39532507c5de8dd668a70d5b66e17c891.

Closes-bug: #1656558

Change-Id: Ibe2e4be5b5dc953d8d4b14f680a460409db95585
(cherry picked from commit 75d48838020ad9ff2bbd739212599ec8eb932649)

Update Dell EMC Cinder back end services

Add services for Dell EMC Cinder back ends to the resource registry
and to the Controller role (defaulting to OS::Heat::None).

Closes-Bug: #1681497
Change-Id: I694fd7738abd3601851bdcd38e3633607ce6152c
(cherry picked from commit 5fb637c611c3c8c4daf8e8d2f06d5579b9ef34fd)

yum_update.sh - Use the yum parameter: check-update

The current check tends to produce a false positive causing unnecessary
service restarts.  yum check-update will exit with return code 100 if
updated packages are available.

Change-Id: I8bd89f2b24bafc6c991382b9eb484cfa9a2f8968
(cherry picked from commit 9e4375d2762f4a26e8b0b8375f9265ad6e439ea1)
Closes-Bug: #1680634

Add composable role support for NetApp Cinder back end

Convert NetApp Cinder back end to support composable roles via new
"CinderBackendNetApp" service.

Closes-Bug: #1680568
Change-Id: Ia3a78a48c32997c9d3cbe1629c2043cfc5249e1c
(cherry picked from commit c533a3219e47c5a6155e85e089b9f8acdb4a3dd6)

Replace references to the 192.0.2 network

Following change I1393d65ffb20b1396ff068def237418958ed3289 the ctlplane
network will be 192.168.24 by default and not 192.0.2 anymore.

This change removes old references left to 192.0.2 network from the
overcloud templates.

(cherry picked from commit b5b6681a74e001448a836e7eea5e75fba859b88c)
Closes-Bug: #1682144
Change-Id: I49bd1ac8d594105665010bd898670b17e72fa763

Merge "Use --disable= in subscription-manager to avoid shell expansion." into stable/ocata

Update ceph-rgw acccepted roles to fix OSP upgrade

This patch updates ceph::keystone::auth::roles to remove
"member" and add "Member". The previous entry breaks
OSP N to O upgrades when ceph-rgw is enabled.

This patch fixes: https://bugs.launchpad.net/tripleo/+bug/1678126

Closes-bug: 1678126
(cherry picked from commit 4656323fc30e67f43d3dbd1ada42b608aa6f79e7)

Change-Id: I70e70f96c4aba2c89a9f81973f732d4348b91515

Decouple Swift ringbuilding logic

This reverts commit b323f8a16035549d84cdec4718380bde3d23d6c3 and uses
the new logic in puppet-tripleo, basically doing the same.

Closes-Bug: 1665641
Depends-On: Ifd6fa5b398d98e8998630ea0c9a2ce9867ceba2b
Change-Id: Ib5cb0578be2993af0a0b8675005d838640bdb139
(cherry picked from commit 76c1c0cbba38b2f25290f5ad80e38ddd97ae834b)

Merge "Add missing ec2api::api::keystone_ec2_tokens_url config" into stable/ocata

Add trigger to setup a LDAP backend as keystone domaine

It is using a trigger tripleo::profile::base::keystone::ldap_backend_enable in puppet-tripleo
who will call a define in puppet-keysone ldap_backend.pp.

Given the following environment:

parameter_defaults:
  KeystoneLDAPDomainEnable: true
  KeystoneLDAPBackendConfigs:
    tripleoldap:
      url: ldap://192.0.2.250
      user: cn=openstack,ou=Users,dc=redhat,dc=example,dc=com
      password: Secrete
      suffix: dc=redhat,dc=example,dc=com
      user_tree_dn: ou=Users,dc=redhat,dc=example,dc=com
      user_filter: "(memberOf=cn=OSuser,ou=Groups,dc=redhat,dc=example,dc=com)"
      user_objectclass: person
      user_id_attribute: cn
      user_allow_create: false
      user_allow_update: false
      user_allow_delete: false
  ControllerExtraConfig:
    nova::keystone::authtoken::auth_version: v3
    cinder::keystone::authtoken::auth_version: v3

It would then create a domain called tripleoldap with an LDAP
configuration as defined by the hash. The parameters from the
hash are defined by the keystone::ldap_backend resource in
puppet-keystone.

More backends can be added as more entries to that hash.

This also enables multi-domain support for horizon.

Conflicts:

    puppet/services/keystone.yaml

Closes-Bug: 1677603
Co-Authored-By: Juan Antonio Osorio Robles <jaosorior@redhat.com>
Depends-On: I1593c6a33ed1a0ea51feda9dfb6e1690eaeac5db
Change-Id: I6c815e4596d595bfa2a018127beaf21249a10643
Signed-off-by: Cyril Lopez <cylopez@redhat.com>
(cherry picked from commit 347f5434b3e3793b9fdf2a94f49ab7734c5d923b)

Merge "Generate Pre/Post Puppet Tasks for all roles" into stable/ocata

Merge "Updated from global requirements" into stable/ocata

Merge "Add manual ovs upgrade script for workaround ovs upgrade issue" into stable/ocata

Merge "Add environment for deployed-server with pacemaker" into stable/ocata

Add manual ovs upgrade script for workaround ovs upgrade issue

When we upgrade OVS from 2.5 to 2.6, the postrun package update
restart the services and drop the connectivity
We need to push this manual upgrade script and executed to the
nodes for newton to ocata

The special case is needed for 2.5.0-14 specifically see related
bug for more info (or, older where the postun tries restart).
See related review at [1] for the minor update/manual upgrade.

Related-Bug: 1669714
Depends-On: I3227189691df85f265cf84bd4115d8d4c9f979f3
Co-Authored-By: Sofer Athlan-Guyot <sathlang@redhat.com>
[1] https://review.openstack.org/#/c/450607/

Change-Id: If998704b3c4199bbae8a1d068c31a71763f5c8a2
(cherry picked from commit d2d319ec0ead06b860f8464b001048fb4f723788)

Enforce upgrade_batch_tasks before upgrade_tasks order

If we really want upgrade_batch_tasks before the upgrade_tasks
as described in the README then we should enforce the ordering

Noticed this working on bug 1671504 upgrade tasks were being
executed before batch upgrade tasks.

Closes-Bug: 1678101
Change-Id: Iaa1bce960a37c072b5f8441132705a6bb6eb6ede
(cherry picked from commit 299b9f532377a3a0c16ba9cb4fe92c637fc38eeb)

Ensure upgrade step orchestration accross roles.

Currently we don't enforce step ordering across role, only within
role.  With custom role, we can reach a step5 on one role while the
cluster is still at step3, breaking the contract announced in the
README[1] where each step has a guarantied cluster state.

We have to remove the conditional here as well as jinja has no way to
access this information, but we need jinja to iterate over all enabled
role to create the orchestration.

This deals only with Upgrade tasks, there is another review to deal
with UpgradeBatch tasks.

[1] https://github.com/openstack/tripleo-heat-templates/blob/master/puppet/services/README.rst

Closes-Bug: #1679486

Change-Id: Ibc6b64424cde56419fe82f984d3cc3620f7eb028
(cherry picked from commit d286892c785b8b81a866ea3c6a459d1fc4a347e8)

Merge "Make neutron dhcp agents per network conditional" into stable/ocata

Merge "Fixes port binding controller for OpenDaylight" into stable/ocata

Merge "Purge initial firewall for deployed-server's" into stable/ocata

Add environment for deployed-server with pacemaker

A new environment file to be used when using the deployed-server roles
data at deployed-server/deployed-server-roles-data.yaml. This ensures
the Pre and Post Puppet Tasks for the ControllerDeployedServer role are
mapped to the stacks that handle maintenance mode and resource restarts
for pacemaker on stack-update.

Change-Id: I1ca52dfb3a3b669e128ebb0a28d9e36a1807faad
Closes-Bug: #1665060
(cherry picked from commit f8cc35092d8d8c60eee12bd2a550ff5d60e28582)

Generate Pre/Post Puppet Tasks for all roles

We need to generate the Pre and Post Puppet Tasks for all roles, not
just the Controller role. Otherwise, you have to have a role
specifically named Controller that is running your pacemaker services,
or pacemaker won't be properly handled on stack-updates.

When using deployed-server's it's actually not possible to have a role
called Controller, since we need to use all custom roles so that we can
set disable_contraints on each role. Further, it is not possible to
redefine the Controller role since puppet/controller-role.yaml is listed
in the excludes file.

Change-Id: I737b24db90932e292b50b122640f66385f2d1c23
Partial-Bug: #1665060
(cherry picked from commit 529768ae84f7713f2ae9447ff35ee2d63b4bdcd7)

Updated from global requirements

Change-Id: I40ecce838d12c2e232d8d4284bfa3ef3b88cebe4

Merge "Add OpenDaylightConnectionProtocol parameter to opendaylight-api service" into stable/ocata

Purge initial firewall for deployed-server's

We need to purge the initial firewall for deployed-server's, otherwise
if you have a default REJECT rule, the pacemaker cluster will fail to
initialize. This matches the behavior done when using images, see:
Iddc21316a1a3d42a1a43cbb4b9c178adba8f8db3
I0dee5ff045fbfe7b55d078583e16b107eec534aa

Change-Id: Ia83d17b609e4f737074482a980689cc57c3ad911
Closes-Bug: #1679234
(cherry picked from commit a216934f408439e77bf8346dafe30c4752c70946)

Set auth flag so ceilometer auth is enabled

Ceilometer Auth should be enabled even if ceilometer api
is not. Lets decouple these, this flag will be used in
puppet-tripleo where ceilometer::keystone::auth class
is initialized.

Change-Id: Iffebd40752eafb1d30b5962da8b5624fb9df7d48
Closes-bug: #1677354
(cherry picked from commit 0d04302abd19f98df3cd700f9cc4ec47273e5dac)

Merge "Setting keystone region for tacker" into stable/ocata

Merge "FQDN validation" into stable/ocata

Merge "Setting keystone region for congress" into stable/ocata

Merge "Re-Add bigswitch agent support" into stable/ocata

FQDN validation

Adds optional validation to ensure FQDN set by Nova matches /etc/hosts
as created by overcloud heat configuration.

Consistent FQDN requires the nova parameter [Default]/dhcp_domain to
match the CloudDomain tht parameter.

This validation is disabled by default.

Change-Id: Ib5689acae66baf63ecccbc3b1c0b96684781b863
(cherry picked from commit bae2d113938b9bb22d4c291ae312d2299187f72b)
Partial-Bug: #1581472

Fixes port binding controller for OpenDaylight

In Ocata and later, the port binding controller for ODL was changed by
default to be the pseudo agent controller, which requires a new feature
"host config" for OVS.  This patch modifies the default to use
network-topology, which will work without any new host config features
implemented (previous way of port binding).

Closes-Bug: 1675211

Depends-On: I5004fdeb238dea81bc4f7e9437843a8a080d5b46

Change-Id: I6a6969d1d6b8d8b8ac31fecd57af85eb653245d2
Signed-off-by: Tim Rozet <trozet@redhat.com>
(cherry picked from commit 502b3459d9c2b32beba31b37814d7625cd007775)

Merge "Don't check haproxy if external load-balancer is used." into stable/ocata

Add missing ec2api::api::keystone_ec2_tokens_url config

Change-Id: I9a19aff24dede2bea3bf2959afa7adde00817ee0
Related-Bug: #1676491
(cherry picked from commit 10cb0cfdef9b3a4719f89bcc2cdf1dae4a14dcca)

Setting keystone region for tacker

Change-Id: I170b7e4cff66f0a4b1b6d5735f93c9f0295a5ac5
(cherry picked from commit eb426db63c8cc48990a832f8e1b972feb93e7e92)

Merge "Add special case upgrade from openvswitch 2.5.0-14" into stable/ocata

Include panko in the default dispatcher

panko is enabled by default, we might as well make it
the default dispatcher along with gnocchi.

Closes-bug: #1676900

Change-Id: Icb6c98ed0810724e4445d78f3d34d8b71db826ae
(cherry picked from commit 568573b9b054c3804d9d1be2ce6ec2668ca2dbfb)

Merge "Fixes multiple issues with retry function in rhel-registration." into stable/ocata

Add special case upgrade from openvswitch 2.5.0-14

In [1] we removed the previously used special case upgrade code.
However we have since discovered that for openvswitch 2.5.0-14
the special case is still required with an extra flag to prevent
the restart.  This adds the upgrade code back into the minor
update and 'manual upgrade' scripts for compute/swift. The
review at If998704b3c4199bbae8a1d068c31a71763f5c8a2 is adding
this logic for the ansible upgrade steps.

Related-Bug: 1669714
[1] https://review.openstack.org/#/q/59e5f9597eb37f69045e470eb457b878728477d7
Change-Id: I3e5899e2d831b89745b2f37e61ff69dbf83ff595
(cherry picked from commit 25983882c2f7a8e8f8fb83bd967a67d008a556a4)

Merge "[N->O] Fix wrong database connection for cell0 during upgrade." into stable/ocata

Don't check haproxy if external load-balancer is used.

Change-Id: Ia65796b04be9f7cadc57af30ef66788dd8cb7de8
Closes-Bug: 1677539
(cherry picked from commit 56535c89ad6a5db718dc0fb89c19dda9fba251ca)

Merge "Stop openstack-nova-compute during nova-ironic upgrade" into stable/ocata

Re-Add bigswitch agent support

The agent configuration was lost in newton during the puppet-tripleo and
THT role conversion. This change adds support for including the bigswitch
agent service for composable roles.

Change-Id: I46896389e48cdbe2864bf5b609a786f1c84ef908
Closes-Bug: #1673126
(cherry picked from commit 8eaa5f8e10a801be8fc45eeaaa479e7774d97997)

[N->O] Fix wrong database connection for cell0 during upgrade.

During upgrade the cell0 database has the connection pointing to

   mysql+pymysql://nova:c2cdagE8PyAbnpers3AD88Hge@10.0.0.19/nova_cell0?bind_address=10.0.0.20

where 10.0.0.20 was the ip of the bootstrap node.  This makes the
nova-api fails on 2/3 node at the end of the
major-upgrade-composable-steps.yaml step.

We do have the right value in the hiera database so make sure we use
it for cell0 creation and not the nova.conf file which hasn't been
updated yet.

Change-Id: I09775206cb8fc5e15934f7e4475506a7fe17271e
Closes-Bug: #1675359
(cherry picked from commit c9c3813b6a0811a262068d0aab28d0bd535be3e1)

Merge "[N->O] is creating 2 default cell_v2 cells" into stable/ocata

Merge "Run cluster check on nodes configured in wsrep_cluster_address." into stable/ocata

Stop openstack-nova-compute during nova-ironic upgrade

This change ensures that that openstack-nova-compute is
stopped and disabled during the upgrade process.

Closes-Bug: 1675814

Change-Id: Ifd2557b11e4317f1e76e459e8de4162116578eff
(cherry picked from commit 276aca7a8145570301e566a8fb3253f57601d171)

Run cluster check on nodes configured in wsrep_cluster_address.

Attempt to check galera's cluster status fails when galera service
is not running on the same node.

Change-Id: I27fb0841d85cd0dc86e92ac2e21eedf5f8f863ab
Closes-Bug: #1677574
(cherry picked from commit d39c952fd3150d24c9e01c15806181715d0760f8 )

Merge "N->O Upgrade, make sure all nova placement parameter properly set." into stable/ocata

Merge "N->O upgrade, blanks ipv6 rules before activating it." into stable/ocata

Merge "Nic config mappings for deployed-server" into stable/ocata

Merge "Enables increasing mariadb open files for noha deployments" into stable/ocata

Merge "Sort ResourceGroup resource list" into stable/ocata

Modify pci_passthrough hiera value as string

Hiera value of nova::compute::pci_passthrough should be a string.
It has been modified to JSON with the heira hook changes. Modifying
it again back to string.
Closes-Bug: #1675036

Change-Id: I441907ff313ecc5b7b4da562c6be195687fc6c76
(cherry picked from commit 57c06ddefd4d7ff87de02dab9d1c5e92eb8e6eef)

Merge "Only set EnableConfigPurge on major upgrades" into stable/ocata

Remove 'Controller' role references from overcloud.j2.yaml

This patch again removes hard coded role references to
the overcloud.yaml template that was added in
fd15a091f7ab6927833275df17b96ecacc2b1827. This
breaks the composable undercloud work (undercloud-containers ci job as
well).

Change-Id: Ie30b2573dc4d2b45ebc0afc0e0d73bfdf41e4d4b
Closes-bug: #1676528
(cherry picked from commit f7f1a8a6d8cfd4c78ffd256497b32daa5908641e)

Merge "Fixes missing firewall rules for neutron_ovs_dpdk_agent service" into stable/ocata

Only set EnableConfigPurge on major upgrades

Bug #1611800 fixed an upgrade issue by enabling purging configs for
some services, but this causes issues such as longer updates and
restarting services in the minor update case, so only do this for
major upgrades, and default to false.

 Conflicts: (don't exist on this branch)
environments/major-upgrade-composable-steps-docker.yaml
environments/major-upgrade-converge-docker.yaml

Related-Bug: #1611800
Closes-Bug: #1674858
Change-Id: Iff7d715f6730c5633f1146008504b4309ef3133d
(cherry picked from commit 947a7148e807e74daf9e30e4e8c891d5bdacc69f)

[N->O] is creating 2 default cell_v2 cells

A side-effect of running map_cell_and_hosts is that a default cell is created
(unless host mappings already exists).
As we are explicitly creating the default cell we need to run discover_hosts
to create the host mappings.

Change-Id: I1a28e9b85a7c43561700faf692248c5fc06b8ad8
Closes-Bug: #1675418
(cherry picked from commit ab4adb9fb1b1ba003a8045ce4c3879f88ea243b3)

Nic config mappings for deployed-server

Adds default nic config mappings when using the deployed-server custom
roles data at deployed-server/deployed-server-roles-data.yaml.
Previously there were no default mappings as the hardcoded mapping for
the Controller role from overcloud-resource-registry-puppet.j2.yaml
would not be used since there is no Controller role when using
deployed-server.

The default mapping is net-config-static.yaml instead of
net-config-noop.yaml, since there is no requirement of a L2 domain for
dhcp between undercloud and overcloud nodes when using deployed-server.

The convenience mapping of ControllerDeployedServer to
net-config-static-bridge.yaml is also added so that out of the box the
roles with controller services will get the right bridge created.

The mappings can always be overridden in later environment files if
needed.

Change-Id: I581fec99b459a12512686e47b10b962756652eb3
Closes-Bug: #1670493
Depends-On: Ib681729cc2728ca4b0486c14166b6b702edfcaab
(cherry picked from commit cdbf1ca1918af649d1079ee07a9303059c9723ed)

Merge "Fix usage of CinderNfsServers" into stable/ocata

Merge "Don't try to run os-net-config from yum_update.sh" into stable/ocata

Sort ResourceGroup resource list

We should sort the results by resource_name when listing resources in
the ResourceGroup stack in get-occ-config.sh, as the order is not
guaranteed. We want the order to always be numerical ascending by
resource_name (which are just integers starting at 0).

Change-Id: Iccef81e4dfd9586e0030f20bdde131d1a885eb19
Closes-Bug: #1665458
(cherry picked from commit c5e5d21a61808f7c09b85a2750a905bb57b54be1)

Merge "Install openstack-selinux for deployed-server" into stable/ocata

Setting keystone region for congress

Change-Id: I4958b886cbd6c2b34da0c265e8774105474ace13
(cherry picked from commit 32be46f508423c822208e3c9f3afb32902f1c1ae)

N->O upgrade, blanks ipv6 rules before activating it.

When the firewall is enabled with ipv6, the default rules set is
taken as not ipv6 firewall was present for Newton.  This make
communication impossible until puppet is run again.

This ensures that no rules are loaded when the firewall is enabled.

This mimic this patch[1]

[1] https://github.com/openstack/tripleo-heat-templates/commit/ae8aac36143d5dadb08af0d275f513678909dcc7

Change-Id: Id878b5caae666a799c89c8466ce46b9ecb86d9f7
Closes-Bug: #1675782
(cherry picked from commit 670399a2caeecd9259bea454e9518ab6c92cff49)

N->O Upgrade, make sure all nova placement parameter properly set.

The restart of openstack-nova-compute takes place before crudini set
the password, user_domain and project_name get set.

Change-Id: I57b54d5f59d5803d7ad4e399d598f699785a5825
Closes-Bug: #1675739
Co-Authored-By: Oliver Walsh <owalsh@redhat.com>
(cherry picked from commit bfd485406d8f3847b1969579ebbdaa912c592a4a)

Fix usage of CinderNfsServers

This feature stopped working somewhere along the lines. In the past it
was working with parameter_defaults like this:

 CinderNfsServers: '10.0.0.254:/srv/nfs/cinder'

or

 CinderNfsServers: "[fd00:fd00:fd00:3000::1]:/srv/nfs/cinder"

The problem was that the templating escaped these strings, and
puppet-tripleo didn't receive a proper array, but a string.

This patch fixes this. It accepts strings as above as well as
comma-delimited lists of Nfs Servers.

Closes-Bug: 1671153
Change-Id: I89439c1d969e92cb8e0503de561e22409deafdfc
(cherry picked from commit 9445b0e0972696e7de1c0a702f456571d12fa964)

Merge "etcd: secure EtcdInitialClusterToken parameter" into stable/ocata

Install openstack-selinux for deployed-server

No other packages actually require openstack-selinux, so it must be
explicity installed.

Change-Id: Ic7b39ddfc4cfb28b8a08e9b02043211e4ca4a39a
Closes-Bug: #1675170
(cherry picked from commit 583a60248f47428542a560a869aab04933512d94)

Merge "Deploy versionless keystone endpoints (for keystone only)" into stable/ocata

Fixes missing firewall rules for neutron_ovs_dpdk_agent service

Firewall config was being inherited by the dpdk service, however
since the firewall service name was the parent (neutron_ovs_agent)
and technically that service was not enabled - the rules were never
applied.  This modifies the service name as it is inherited using
map_replace.

Closes-Bug: 1674689

Change-Id: I6676205b8fc1fd578cb2435ad97fe577a9e81d95
Signed-off-by: Tim Rozet <trozet@redhat.com>
(cherry picked from commit 48a38a19347a18d4d35fb22de82136359aae5cb7)

Enables increasing mariadb open files for noha deployments

There is currently an issue where the max open files limit is hit with
MariaDB in noha deployments, because it is defaulted to 1024 by system
limits.  In HA deployments the limit is bumped to 16384.  This patch
introduces a flag to be able to increase the limit to 16384 for noHA
deployments.

In the future we should change this to be an integer, and let the
operator decide the setting.  Since this setting is set in a different
path for HA, we would need to implement a change that allows setting
both (ha and nonha) via the same integer param.

Depends-On: Ia0907b2ab6062a93fb9363e39c86535a490fbaf6

Closes-Bug: #1648181
Related-Bug: #1524809

Change-Id: I95393fc798b833a8575afbff03ef74a839565c5e
Signed-off-by: Tim Rozet <trozet@redhat.com>
(cherry picked from commit 900ddfb27f0dd2afd8345d89a78b624f647b255d)

Merge "Explicitly configure credentials used by ironic to access other services" into stable/ocata

Merge "Pick dynamically the first node for stack validation" into stable/ocata

Fixes OpenDaylightProviderMappings hiera parsing

The str_replace conversion used previously is no longer needed and
breaks the hieradata value.

Closes-Bug: 1675426

Change-Id: I7a052d1757efe36daf6ed47e55598ca3c2ee9055
Signed-off-by: Tim Rozet <trozet@redhat.com>
(cherry picked from commit ae10ae4a5a21bb58c183aa50f237ffa2d6f14280)

Merge "Add bindep support" into stable/ocata

etcd: secure EtcdInitialClusterToken parameter

Secure EtcdInitialClusterToken parameter by:

* removing the default value.
* make it hidden.

Change-Id: I938af697f9faaadb9c9aeb950e9410db24b1b961
Depends-On: I6e30cce469736e84a3c483fafa29d542b8347ba9
Closes-Bug: #1673266
(cherry picked from commit 55d17ca118d27f16b57424774265f5b3db7b7b52)

Merge "Cleanup no longer used upgrade files" into stable/ocata

Deploy versionless keystone endpoints (for keystone only)

The default is to deploy v2.0 endpoints, but this is not the recommended
approach. we should instead be using versionless endpoints

Change-Id: Icbfae1c2ff2b7312646fd8e817dd8209220a0d96
Related-Bug: #1667679
(cherry picked from commit 40a50031f37df0f0cde53e3f3c15ffe407fbdcbd)

Add bindep support

Bindep is an automation tool used by openstack-infra to bootstrap a
worker with default packages. This is not needed, since we depend on
puppet to automate this step.

Change-Id: I759614ed0cf1fab5433956ed459419e564590398
Signed-off-by: Paul Belanger <pabelanger@redhat.com>
(cherry picked from commit 209d8f5eac9273372aa44988436ae7f12596cd0d)