Merge "Split ovn plugin and northd configuration"

Merge "Decouple swift-proxy from ceilometer packages"

Merge "Add networking-fujitsu support to puppet-tripleo"

Merge "Do not use hardcoded controller_node_names when setting up the cluster"

Decouples neutron services from OpenDaylight API service

Removes including Neutron services in the OpenDaylight API service.
This was breaking custom roles when splitting up OpenDaylight and Neutron
into different roles.  Also, references to "controller" are removed
because with custom roles OpenDaylight could be isolated to any role
type.  The 'bootstrap_nodeid' still works with any role, and only
resolves to the first node in the series of nodes for that role type.

Partial-Bug: 1651499

Change-Id: I418643810ee6b8a2c17a4754c83453140ebe39c7
Signed-off-by: Tim Rozet <trozet@redhat.com>

Merge "Disable legacy ceilometer api by default"

Merge "Drop vip_hosts"

Merge "Fix a typo in haproxy.pp"

Merge "Add tripleo::ui rspec tests"

Add networking-fujitsu support to puppet-tripleo

Enable ml2.pp to call networking-fujitsu manifest in puppet-neutron.
The implementation in puppet-neutron is in progress separately.

Change-Id: I5eb2c2a9c50b5991d62f4b6d74b83351c86b02de
Implements: blueprint integration-networking-fujitsu
Depends-On: I37a502b43eb7d91bfe20625248ed117eae3ca535

Decouple swift-proxy from ceilometer packages

This patch updates the swift proxy so that it only depends
on ceilometer if the ceilometer_api_enabled all-nodes-data hiera
setting has been set.

Also removes a parameter dependency where the
tripleo::profile::base::swift::proxy class was referencing
a puppet-ceilometer value from hiera (which can
also cause ceilometer dependencies).

Depends-On: Ief5399d7ea4d26e96ce54903a69d660fa4fe3ce9

Change-Id: I8d9f69f5e9160543b372bd9886800f16f625fdc6
Closes-bug: #1648736

Merge "Changes default MidoNet API port on HAProxy"

Disable legacy ceilometer api by default

Ceilometer api is deprectaed in Ocata. Lets disable by default.
This can still be enabled by setting enable_legacy_ceilometer_api
param.

Change-Id: Iffb8c2cfed53d8b29e777c35cee44921194239e9

Release ocata-2

6.1.0 will be ocata-2.

Change-Id: Ic5c4e00135a1e876e755e6ada94abb42dd29f46a

Merge "Add cinder profile spec tests"

Merge "Delete MidoNet deprecated classes and their tests"

Do not use hardcoded controller_node_names when setting up the cluster

Currently we chose the pacemaker cluster node by simply taking
hiera('controller_node_names'). We should instead use the
pacemaker_short_node_names array which is built dynamically
from all the nodes that include the pacemaker service.

Change-Id: I0a3e4acaab11e078da5eeb2ef2adde5387785927

Create Glance's database if glance-api is enabled

Instead of checking for glance_registry_enabled, we should be checking
for glance_api_enabled. The glance-api v1 depends on the registry, which
means the database will be created but glance-api v2 doesn't which means
that not deploying the registry would result in the glance database not
being created. On the other hand, glance-registry is never deployed
without glance-api

Change-Id: Ief25dafb65f7a043fbb3d16f1d7ef834c9947a93

Delete MidoNet deprecated classes and their tests

MidoNet no longer uses the API component. It has been renamed/refactored
to "cluster" as it can be seen on the docs at
https://blog.midonet.org/introducing-midonet-cluster-services/

Also there is no need to have a Cassandra and Zookeeper dedicated
classes, as we leverage this through the use of the midonet_openstack
puppet module.

Change-Id: I2f17aeeac2d1b121be0d445ff555320d5af5d270
Partial-Bug: #1647302

Add tripleo::ui rspec tests

Change-Id: I2eb5b84dbeedde58153bceb707fd15cce8f03d5e

Add cinder profile spec tests

This change adds rspec testing for the cinder profiles with in
puppet-tripleo. Additionally while testing, it was found that the
backends may incorrectly have an extra , included in the settings
for cinder volume when running puppet 3.  This change includes a fix
the cinder volume backends to make sure we are not improperly
configuring it with a trailing comma.

Change-Id: Ibdfee330413b6f9aecdf42a5508c21126fc05973

Merge "Remove unused pacemaker profiles"

Merge "Add verify required and CA bundle to haproxy"

Fixes typo in sriov_numvfs releasenotes

Change-Id: I729702a5326d74ad35485fa7276af45e2223ec5f

Merge "Update ceilometer collector ipv6 handling"

Merge "Show team and repo badges on README"

Merge "Use FQDNs for RabbitMQ's cluster configuration"

Merge "Use FQDNs for the services' RabbitMQ configuration"

Add verify required and CA bundle to haproxy

This only takes effect is internal-tls is used, and forces haproxy to
do proper verifications of the SSL certificates provided by the
servers.

bp tls-via-certmonger
Change-Id: Ibd98ec46dd6570887db29f55fe183deb1c9dc642

pacemaker: create Mysql_user once Galera is ready (puppet4)

Puppet 4 ordering make things more strict in catalog, which is good.
Resources have to be orchestrated or Puppet will take them in the order
they are found in catalog.

This patch makes sure we create MySQL users only when Galera is actually
ready.

Closes-Bug: #1645787
Change-Id: I536a1a128c3a7eca49bcc4f34a1307bcd60b029e

Merge "Include local CA in haproxy PEM"

Merge "Enable TLS in the internal network for Panko API"

Use FQDNs for RabbitMQ's cluster configuration

This sets the cluster_nodes configuration in RabbitMQ to use FQDNs
instead of IP addresses. Note that in HA, RabbitMQ is already
configured using FQDNs.

Change-Id: I2b1cec25ff25f4afd72a28246c2cda9c58d7b61e

Use FQDNs for the services' RabbitMQ configuration

This replaces the services' IP-based RabbitMQ configuration and uses
FQDNs instead.

Change-Id: I2be81aecacf50839a029533247981f5edf59cb7f

Merge "adding new swift middleware that is typically enabled by default"

Drop vip_hosts

This should no longer be used based on problems discovered in
https://bugs.launchpad.net/tripleo/+bug/1645123

Change-Id: I53b13d514a15226dacbeda1c7b2ede09e7f8807e
Depends-On:  Ic6aaeb249a127df83894f32a704219683a6382b2

Merge "Enable internal TLS for MySQL"

Show team and repo badges on README

This patch adds the team's and repository's badges to the README file.
The motivation behind this is to communicate the project status and
features at first glance.

For more information about this effort, please read this email thread:

http://lists.openstack.org/pipermail/openstack-dev/2016-October/105562.html

To see an example of how this would look like check:

https://gist.github.com/5f53b5b51c414919aa857d0472158564

Change-Id: I89860cb042cd1c23cc5278a8f963f3d62e9492aa

Merge "Do not configure state matching when using GRE"

Enable TLS in the internal network for Panko API

This optionally enables TLS for Panko API in the internal network.
If internal TLS is enabled, each node that is serving the Panko API
service will use certmonger to request its certificate.

bp tls-via-certmonger

Change-Id: Ie9be7ce19601435b1b83b4ba58d9c7e8d53f23ba

Enable internal TLS for MySQL

this adds the necessary code in the manfiest to configure TLS
if internal TLS is enabled. this also adds the capability of
auto-generating the certificate via certmonger.

bp tls-via-certmonger

Change-Id: I7275e5afb3a6550cf2abbb9a8007dedb62ada4b4

Do not configure state matching when using GRE

The firewall rule quite reasonably sets up a default state matching rule
but this is invalid for GRE. This patch conditionally adds the state
matching if the protocol is not GRE.

Closes-Bug: #1644360
Change-Id: Ie4ca41d0f36e79ba6822c358e21b827105736dd7

Merge "Remove Combination alarms support"

Merge "Proxy manila in http mode"

Merge "Move calculation of neutron l3_ha into puppet profile"

Update ceilometer collector ipv6 handling

The normalize_ip_for_uri handles ipv6 bracketing correctly. Rather
than continue to do it manually, this change updates the ceilometer
collector profile to leverage the normalize_ip_for_uri function to
properly escape ipv6 addresses.

Change-Id: Ifaf6568785235db55f8dc593d83e534216413d31
Closes-Bug: #1629380

Split ovn plugin and northd configuration

This allows us to use the composable services interfaces to handle
providing the IP address for northd, and will be more flexible in
the event folks want to deploy northd/ovndb on a different node to
the neutron plugin.

This also adds ovn_northd to the haproxy configuration so we can access
it via the ovn_northd_vip in other service profiles.  Note we need
to ensure the haproxy config only hits the bootstrap node as northd
won't be running on the other nodes.

Change-Id: I9af7bd837c340c3df016fc7ad4238b2941ba7a95
Partial-Bug: #1634171

Merge "Use mode 'http' in haproxy for ceilometer, neutron, aodh and gnocchi"

Proxy manila in http mode

It needs it so HAProxy will be able to set the X-Forwarded-Proto header.
Related-Bug: #1640126
Change-Id: I1726fa1742bc70518338b80fc6d27567bb020e7c

Use mode 'http' in haproxy for ceilometer, neutron, aodh and gnocchi

HAProxy won't pass X-Forwarded-Proto to these services in mode tcp, so we need
to switch it to http in order for it to work and for the services to properly
set the protocol in the links they serve.

Change-Id: Ib10282159fb9269eebe81af23171ec9fb1297cd0
Closes-Bug: #1640126

Merge "firewall: stop using stdlib stages"

Merge "Adds auto-detection for VIP interfaces"

Merge "Add panko service support"

firewall: stop using stdlib stages

Using Puppet stdlib in TripleO is risky because it exposes deployments
to dependency cycles in the catalog.
We should rather use native functions to make orchestrations, like
ordering and dependencies management.

This patch:

- removes usage of stages from stdlib
- use ordering to make sure we run pre rules before post
- use ordering to make sure we start all Services in catalog before post
  rules. It ensure that we don't drop all traffic before starting the
  services, which could lead to services errors (e.g. trying to reach database
  or amqp)

Change-Id: Iec4705d6b785a40ccf6f43809b94b726ccd47fef
Closes-Bug: #1643575

Move calculation of neutron l3_ha into puppet profile

This is currently calculated in t-h-t but has a hard-coded reference
to the ControllerCount which is incompatible with custom-roles.

So instead calculate the setting based on the number of neutron API
services running (on any role, not just Controller), combined with
whether DVR is enabled (equivalent to current t-h-t logic).

To avoid breaking the NeutronL3HA parameter in t-h-t we maintain an
optional parameter to override the calculated value.

Change-Id: I01c50973eec8138ec61304f2982d5026142f267c
Partial-Bug: #1629187

Adds auto-detection for VIP interfaces

Previously the ctrl plane VIP would default to 'br-ex' which in non-vlan
deployments ends up being the wrong interface.  The public VIP interface
was also defaulted to 'br-ex' which would be incorrect for vlan based
deployments.  Since a user has already given the nic template (and in
most cases the subnet that corresponds to the nic) the installer should
be able to figure out which interface the public/control vip should be
on.

These changes enable that type of auto-detection, unless a user
explicitly overrides the heat parameters for ControlVirtualInterface and
PublicVirtualInterface.  Also removes calling keepalived from haproxy
now that the services are composed separately on the Controller role.

Partial-Bug: 1606632

Change-Id: I05105fce85be8ace986db351cdca2916f405ed04
Signed-off-by: Tim Rozet <trozet@redhat.com>

Changes default MidoNet API port on HAProxy

The default port of the MidoNet Cluster (formerly known as MidoNet API)
is now 8181 instead of 8081.

Since this parameter is configurable through the settings, the default
value for the port has been added to the $service_ports array.

Change-Id: I2785d3109993bca0bd68077ff55cfeafbf594e19

Replace hard-coded haproxy/keepalived coupling

We have a variable in hiera which tells us if the keepalived
service is enabled, so use it here.  Without this any deployment
disabling OS::TripleO::Services::Keepalived will fail.

Change-Id: I90faf51881bd05920067c1e1d82baf5d7586af23
Closes-Bug: #1642677

Remove Combination alarms support

combination alarms are completely removed in Ocata.
Remove this from tripleo.

Change-Id: Icdf81d2f489db33533a1a0979cba3b5a652535d5

Merge "Sort parameters in keystone profile alphabetically"

Merge "Prepare 6.0.0 (ocata-1)"

Sort parameters in keystone profile alphabetically

Change-Id: I035c26e0f50e4b3fc0f6085fa5a4bf524e4852b7

Remove explicit hiera calls for heat in keystone profile

These are now passed via the heat profiles in t-h-t (via
heat-base.yaml and heat-engine.yaml) and use the actual names of
keystone parameters instead.

Change-Id: Id0f5dd03b6757df989339c93b58a5b7eac3402a2
Depends-On: I0e5124d57fdc519262fdec2dbeaaac85afaeebdf

Prepare 6.0.0 (ocata-1)

Prepare the first release of Ocata.

Change-Id: Ib8173d1ce26752216aeaab835f483503cf82b217

Merge " Enable TLS in the internal network for Barbican API"

Add panko service support

Change-Id: I35f283bdf8dd0ed979c65633724f0464695130a4

Merge "Fix barbican server name to not use aodh hiera"

 Enable TLS in the internal network for Barbican API

 This optionally enables TLS for Barbican API in the internal network.
 If internal TLS is enabled, each node that is serving the Barbican API
 service will use certmonger to request its certificate.

 bp tls-via-certmonger

Change-Id: I1c1d3dab9bba7bec6296a55747e9ade242c47bd9

Merge "Normalize civetweb binding address if IPv6"

Merge "Enable TLS in the internal network for Cinder API"

Merge "Ensure keepalived is restarted when necessary."

Normalize civetweb binding address if IPv6

The civetweb binding format is IP:PORT; this change ensures the IP
is enclosed in brackets if IPv6.

To do so we add the bind_ip and bind_port parameters to the
rgw service class.

Change-Id: Ib84fa3479c2598bff7e89ad60a1c7d5f2c22c18c
Co-Authored-By: Lukas Bezdicka <social@v3.sk>
Related-Bug: #1636515

Fix barbican server name to not use aodh hiera

this looks like a copy/paste error. Let barbican use its own
hiera data.

Change-Id: I84118c1a561c3db2f18504b55c5a8c4f042e7e3b

Fix puppet lint failure

I'm not sure how this merged, but it's causing failures in other
patches to puppet-tripleo.

Change-Id: Ib20d349fa9abd6347739190bb29a02b6e3eb839d

adding new swift middleware that is typically enabled by default

These are features that are typically enabled by default
in any swift cluster.

Change-Id: Ie323f68255a73d46e774cbf49d9353c3bf90c35e
Signed-off-by: Thiago da Silva <thiago@redhat.com>

Merge "Enable TLS in the internal network for Nova API"

Merge "Better way to ensure keepalived before haproxy."

Merge "Wrong default in docstring"

Merge "Pass X-Forwarded-Proto for missing services"

Ensure keepalived is restarted when necessary.

If os-collect-config/config.json is updated before an upgrade/update,
then the os-net-config run will automatically erase the keepalived
managed ips.

This is a hackish way to ensure that keepalived is restarted during the
next phase in order to have the ip recreated.

It basically adds a comment line to the keepalived.conf file (making it
different than the puppet one) if it's there. This will force a puppet
restart of the keepalive service puting the ips back on the undercloud.

Change-Id: I56b706ff44ba31aa87a63f870940831ce02a6e77
Closes-Bug: #1640213
Related-Bug: #1638029

Merge "Add proper handling of IPv6 addresses for rabbit host/port handling"

Better way to ensure keepalived before haproxy.

The lastest patchset of https://review.openstack.org/393361 was actually
not working.

The `if defined` idiom depends on *evaluation* order.

At the time it's red in the haproxy.pp class, the line that loads the
class 'haproxy' has still not yet been reached and thus the `defined`
result is false. The constraint is not added.

For this reason, the use of `defined` in module is not advised by
puppetlabs[1].

[1] https://docs.puppet.com/puppet/latest/reference/function.html#defined

Change-Id: Ibd352cb313f8863d62db8987419378bed5b87256
Relates-To: #1638029

Merge "Enable TLS in the internal network for gnocchi"

Merge "Improve failed mysql node removal time in HA deploys."

Wrong default in docstring

Update default doc default for bind_host to match previous change
http://review.openstack.org/386817/

Change-Id: Iff048ba7152c1b7e945f284311215c8f872c1409
Closes-bug: #1640104

Pass X-Forwarded-Proto for missing services

aodh, ceilometer, gnocchi and neutron need the X-Forwarded-Proto in
order to return links with the correct protocol when SSL is enabled.
This enables it in HAProxy

Change-Id: Icceab92f86b1cc40d42195fa4ba0c75f302795b8
Closes-Bug: #1640126

Improve failed mysql node removal time in HA deploys.

In HA deployments, we now check mysql nodes every 1s and removed them
immediately if they are failed. Previously we would check every 2s and
allow them to fail 5 checks before being removed, producing errors from
other OpenStack services for 10s, which causes confusion and delay for
operators.
Additionally, these check options are now also a class parameter so can
be overridden by operators.

Closes-Bug: #1639189

Change-Id: I0b915f790ae5a4b018a212d3aa83cca507be05e9

Include local CA in haproxy PEM

In order for the browser to trust the certificate served by HAProxy
we need to include the CA cert in the PEM file that the endpoints
serve.

Change-Id: Ibce76c1aa04bd3cb09a804c6e9789c55d8f2b417
Closes-Bug: #1639807

Add proper handling of IPv6 addresses for rabbit host/port handling

This patch changes the rabbit_hosts config generation to work properly
with IPv6 addresses.

Closes-Bug: #1639881
Change-Id: I07cd983880a4a75a051e081dcb96134cb5c6f5e8

Increase haproxy timeouts

It's been proposed this may help with the
('Connection aborted.', BadStatusLine("''",)) errors.

This patch increase queue, server and client timeouts to 2m (default is 1m)
Related-Bug: #1638908

Change-Id: Ie4f059f3fad2271bb472697e85ede296eee91f5d

swift/proxy: configure rabbitmq properly

Use rabbitmq_node_ips to find out where rabbitmq nodes are, and have
correct ipv6 syntax if required.

Closes-Bug: 1637443
Change-Id: Ibc0ed642931dd3ada7ee594bb8c70a1c3462206d

Merge "Fix default for barbican documentation"

Merge "Make sure keepalived is restarted before haproxy."

Create heat user in keystone profile

Rather than use the heat::keystone::domain class which also includes the
configuration options, we should just create the user for heat in
keystone independently of the configuration.

Change-Id: I7d42d04ef0c53dc1e62d684d8edacfed9fd28fbe
Related-Bug: #1638350
Closes-Bug: #1638626

Enable TLS in the internal network for Cinder API

This optionally enables TLS for Cinder API in the internal network.
If internal TLS is enabled, each node that is serving the Cinder API
service will use certmonger to request its certificate.

bp tls-via-certmonger

Change-Id: Ib4a9c8d3ca57f1b02e1bb0d150f333db501e9863

Fix default for barbican documentation

Change-Id: Id4dc2379b0c423012a0b3aaf49d1e1a7d633a03b

Merge "Add barbican profile rspec testing"

Merge "Add barbican profile"

Merge "Fixes transparent binding to OpenDaylight in HA Proxy"

Merge "NFS mounting for Glance file backend"