Merge "Create /etc/my.cnf.d/tripleo.cnf with proper bind-address"

Merge "Enable languages in UI config"

Merge "Add virtual_packages support to norpm provider"

Create /etc/my.cnf.d/tripleo.cnf with proper bind-address

When fixing LP#1643487 we added ?bind_address to all DB URIs.
Since this clashes with Cellsv2 due to the URIs becoming host
dependent, we need a new approach to pass bind_address to pymysql
that leaves the DB URIs host-independent.

We first create a /etc/my.cnf.d/tripleo.cnf file with a [tripleo]
section and in this section we add the correct bind-address option.
Note that we use the puppet augeas lens and not the mysql one
because the mysql one does not support custom sections *and* there
are older versions around which do not like the /etc/my.cnf.d/* path.

The reason for not reusing an existing mariadb file (my.cnf or
galera.cnf) is that pymysql's ini file support is not robust
enough at the moment: https://github.com/PyMySQL/PyMySQL/issues/548

The reason for putting this file creation code only on the controller
nodes the following: The slow VIP failover only happens if a
service runs where the VIPs exist. The VIPs get created in the
haproxy profile and that is why in order to have fast VIP failovers
the MySQLClient profile must live where the Haproxy service is running.

Co-Authored-By: Damien Ciabrini <dciabrin@redhat.com>
Partial-Bug: #1663181
Change-Id: Iff8bd2d9ee85f7bb1445aa2e1b3cfbff1f397b18

Enable languages in UI config

Which language options to offer to the UI users is determined in the
configuration file. Let's show all possible languages by default,
unless specified otherwise.

Change-Id: I513303bf82dca53e2291ab66f2385a2985a1846e
Related-Bug: #1663279

Merge "xinetd: bind only on mysql network"

Add virtual_packages support to norpm provider

The norpm provider is supposed to noop package installs/updates but if a
package name in puppet does not match the installed package, it is being
reported as not installed.  The provider then 'installs' it every time
which can trigger unwanted service restarts.

Change-Id: Icdfa6567168f9ecc555489ed67405f98544bd910
Closes-Bug: #1665405

Update reno for stable/ocata

Change-Id: I2e67879bb790d4e2d11ed39cdde0fb402453ecda

Merge "Fix a typo in mysql.pp"

Merge "tuning: manage keystone resources only at step3"

Add missing release notes for Ocata RC1

Change-Id: I95f7b57a6cb0811af324996bd00580732503ed28

Merge "Make quotes consistent to match the sample config"

tuning: manage keystone resources only at step3

1. Manage Keystone resources only at step 3. Don't verify them
   at step 4 and 5, it's a huge loss of time.
2. Don't require Keystone resources for Gnocchi services, they are
   already ready at Step 5.

Related-Bug: #1664418
Change-Id: I9879718a1a86b862e5eb97e6f938533c96c9f5c8

Make quotes consistent to match the sample config

Per project conventions, should use single quotes.
Also, update comments and defaults to match sample.

Change-Id: I82ddcec230e7a03965d753db60968912b8d7da5c
Closes-Bug: #1663624

Merge "Add ::ironic::config to Ironic base profile"

Merge "nova: move placement credentials config at step 3"

nova: move placement credentials config at step 3

nova placement credentials in nova.conf need to be configured at step 3
so Nova services can use them as soon as they start.

Change-Id: I0abdd305b7e6c8d83f23e25b3872e98eb56dd299

Uncomment internal TLS options for placement API

Placement API is still running over wsgi which can run with TLS on the
internal network; These options were commented from haproxy and doing
this breaks the TLS-everywhere setup.

Change-Id: I1194f1f487cdcf45541c0d139806aa3dc4456d6e

Merge "Add support to changing the Rabbitmq password on update"

Merge "nova/api: more cleanup"

Merge "Add module to support ScaleIO backend in Cinder"

Merge "Rebranding of Eqlx to Dell EMC PS Series"

Merge "Run nova-cell_v2-discover_hosts at step 5"

nova/api: more cleanup

- transform nova_api_wsgi_enabled in a parameter
- update rspec tests
- fix TLS to run at step 1

Change-Id: I4d3f9c92f0717ae8c3bc8d71065fab281de82008

Run nova-cell_v2-discover_hosts at step 5

We need to run nova-cell_v2-discover_hosts at the very end of the
deployment because nova database needs to be aware of all registred
compute hosts.

1. Move keystone resources management at step 3.
2. Move nova-compute service at step 4.
3. Move nova-placement-api at step 3.
5. Run nova-cell_v2-discover_hosts at step 5 on one nova-api node.
6. Run neutron-ovs-agent at step 5 to avoid racy deployments where
   it starts before neutron-server when doing HA deployments.

With that change, we expect Nova aware of all compute services deployed
in TripleO during an initial deployment.

Depends-On: If943157b2b4afeb640919e77ef0214518e13ee15
Change-Id: I6f2df2a83a248fb5dc21c2bd56029eb45b66ceae
Related-Bug: #1663273
Related-Bug: #1663458

Merge "nova: disable API in WSGI by default"

Add module to support ScaleIO backend in Cinder

Also adds an initial spec file for basic testing of the module.

Change-Id: I5534aab53b70de215336a076d25263c73b8d7b5b
Partial-Bug: #1661316

Rebranding of Eqlx to Dell EMC PS Series

This changes rebrands Dell Eqlx to Dell PS series
and matches the tripleo-heat-templates.

Change-Id: I3536147a06b426ace18cf415e99361c47b4cf5d9

start nova-compute when keystone resources are created

1. Move keystone resources management at step 4.
2. Move nova-compute startup at step 5.

That way, we make sure nova-compute will start when all Keystone
resources are ready.

Change-Id: I6e153e11b8519254d2a67b9142bf774a25bce69d
Closes-Bug: #1663273

nova: disable API in WSGI by default

Cleanup patch once the THT patch is merged.

Change-Id: Iba439a4758a4728197d7620b764a4f0f2648ee0f
Depends-On: I09b73476762593642a0e011f83f0233de68f2c33

Disable midonet unit tests

'https://github.com/midonet/puppet-midonet' doesn't exist anymore, we
need to migrate to 'https://github.com/openstack/puppet-midonet' but
tests will fail.

We need to work with Midokura to get them fixed. In the meantime, let's
disable it.

Change-Id: Id39bc5a8cd229df3e9b597a0a0f3eada838f4953

Merge "Proxy API endpoints that UI uses"

Merge "nova/libvirt: switch vnc server binding"

nova/libvirt: switch vnc server binding

On compute nodes, instead of binding vnc server on 0.0.0.0, use the IP
address provided by libvirt's t-h-t profile (hiera).

Co-Authored-By: Juan Antonio Osorio Robles <jaosorior@redhat.com>
Depends-On: Ie377c09734e9f6170daa519aed69c53fc67c366b
Change-Id: If6b116b238a52144aad5e76c9edc7df6aa15313c
Closes-Bug: #1660099

Stop deploying Nova API in WSGI with Apache

It was suggested by Nova team to not deploying Nova API in WSGI with
Apache in production.
It's causing some issues that we didn't catch until now (see in the bug
report). Until we figure out what was wrong, let's disable it so we can
move forward in the upgrade process.

Related-Bug: 1661360

Co-Authored-By: Juan Antonio Osorio Robles <jaosorior@redhat.com>
Change-Id: Ia87b5bdea79e500ed41c30beb9aa9d6be302e3ac

Merge "Revert "Revert "set innodb_file_per_table to ON for MySQL / Galera"""

Add ::ironic::config to Ironic base profile

I have ExtraConfig settings that need to be set in
ironic.conf. Adding the ::ironic::config module
to our base Ironic profile should allow users to
customize Ironic if needed.

Change-Id: I93e9b3b5d4def1d8fa42b77b611b7d9d6cb7963b

Proxy API endpoints that UI uses

Add support to enable the UI to use paths via mod_proxy to access API
endpoints instead of connecting to each endpoint directly on a port
other than where the UI is served from.  This is necessary to prevent
certificate acceptance errors from non-Chrome browsers which take
exception to connections made to other ports on the same hostname, using
one SSL certificate.

This change extends the UI's Apache configuration to create one
mod_proxy location for each of the API endpoints that UI calls upon.
These mod_proxy (using ProxyPass, ProxyPassReverse) endpoints are
configured using new heira variables provided in the dependent commit.

Additionally, this change modifies the default UI configuration file to
include endpoint URLs formatted to use the new endpoint paths that are
created.

Removed puppet variables which were previously used to generate the
contents of the tripleo_ui_config.js template, since they are no longer
used to generate this file, replaced with the new endpoint URLs
formatted to use the new endpoint paths that are created.

Change-Id: I55e375ad462fa98e181277ec0bd88658e620e8ad
Implements: blueprint proxy-undercloud-api-services
Depends-On: Ib20f4b0891563ae90ec80675635a64c39bd2fdb7

Revert "Revert "set innodb_file_per_table to ON for MySQL / Galera""

This reverts commit 3f7e74ab24bb43f9ad7e24e0efd4206ac6a3dd4e.

After identifying how to workaround the performance issues on the
undercloud, let's put this back in. Enabling innodb_file_per_table is
important for operators to be able to better manage their databases.

Change-Id: I435de381a0f0e3ef221e498f442335cdce3fb818
Depends-On: I77507c638237072e38d9888aff3da884aeff0b59
Closes-Bug: #1660722

Add support to changing the Rabbitmq password on update

Rabbitmq Password is set on the fresh deployment, but during
update, if the password is changed, it is modified in all config
files including rabbitmq config. But the rabbitmq connection fails
because the new password is not successful applied to rabbitmq.
Setting the rabbitmq_user will invoke 'rabbitmqctl change_password'.

Scenario: The password change is applied on Step1 when configuring
Rabbitmq. Other services may be updated on different Steps. Till
other services config is updated with new rabbitmq password, and
restarted, the connections will get Access Denied response. It has
cyclic dependency. So the passwords will be changes at Step1 and
once all services are updated, the connections will work as is.

Partial-Bug: #1611704
Change-Id: I44865af3d5eb2d37eb648ac7227277e86c8fbc54

Merge "Use transport_url for rabbitmq connection parameters in heat"

Merge "Add initial profiles for rest of Octavia services"

Merge "add cache to object-expirer pipeline"

Merge "Delete the unnecessary word in numvfs_persistence.pp"

Merge "Fix style nits in contrail manifests"

Revert "set innodb_file_per_table to ON for MySQL / Galera"

This reverts commit 621ea892a299d2029348db2b56fea1338bd41c48.

We're getting performance problems on SATA disks.

Change-Id: I30312fd5ca3405694d57e6a4ff98b490de388b92
Closes-Bug: #1661396
Related-Bug: #1660722

Prepare 6.2.0 release

6.2.0 will be Ocata RC1.

Change-Id: Ie26ab89ea9c90f6c5d01697459855fd8c32b075f

Merge "set innodb_file_per_table to ON for MySQL / Galera"

set innodb_file_per_table to ON for MySQL / Galera

InnoDB uses a single file by default which can grow to be
tens/hundreds of gigabytes, and is not shrinkable even
if data is deleted from the database.

Best practices are that innodb_file_per_table is set to ON
which instead stores each database table in its own file, each of
which is also shrinkable by the InnoDB engine.

Closes-Bug: #1660722
Change-Id: I59ee53f6462a2eeddad72b1d75c77a69322d5de4

Fix style nits in contrail manifests

There are some style nits in the recently merged contrail puppet manifests.

Change-Id: Ice5935105e0323cb55e0d018190e6471ade7324a

Use transport_url for swift-proxy instead of rabbitmq params

These parameters are being deprecated, so we should be using the
transport_url format instead.

Change-Id: I8b7457b6233c4f88af2d7bc1b9304fcccb6edf61

Merge "Re-organizes Contrail services to the correct roles"

Fix test failure caused by change to puppet-octavia

Fixes a test failure caused by Ic38d4f9f9a8e69ffcee6ccc4bba9a9ab0f161d0e
which pulls in a class with a required parameter.

Change-Id: I0740290bff0ea7c4af6e3420775ac3e72871d372

Merge "Fix MySQL service name parameter"

Merge "Add a default rule for dhcpv6 traffic"

Merge "Clean TLS proxy-related setup for neutron-server profile"

Fix MySQL service name parameter

This was wrongly set to service_name while it should have been
server_service_name.

Change-Id: Ia802857cc585bb9b057a02f6a13c16981baa5b76

Merge "Rename controller_admin_vip to controller_admin_host"

Merge "Add AuditD Profile"

Clean TLS proxy-related setup for neutron-server profile

Since the commit this depends on sets it up via hieradata, the
conditionals here are no longer needed.

bp tls-via-certmonger
Depends-On: I9252512dbf9cf2e3eec50c41bf10629d36070bbd

Change-Id: I37275e42763e103b81878b6af07c750a524c5697

nova: deploy basic setup for cells

it's not required in Ocata, let's configure the basic setup for cells.

note: it also cleanup old code that is not valid anymore.

Change-Id: Iac5b2fbe1b03ec7ad4cb8cab2c7694547be6957d

Re-organizes Contrail services to the correct roles

In current setup some Contrail services belong to the wrong roles.
The Contrail control plane can be impacted if the Analytics database has problems.
Furthermore contrail tripleo puppet modules are being refactored to conform to the
new interface of the puppet-contrail modules.

Closes-Bug: 1659560

Change-Id: Id0dd35b95c5fe9d0fcc1e16c4b7d6cc601f10818

Add AuditD Profile

This patch allows the management of the AuditD service and its associated
files (such as `audit.rules`)

This is achieved by means of the `puppet-auditd` puppet module.

Closes-Bug: #1640302
Co-Authored-By: Luke Hinds (lhinds@redhat.com)
Change-Id: Ie31c063b674075e35e1bfa28d1fc07f3f897407b

Add a default rule for dhcpv6 traffic

Via bug https://bugs.launchpad.net/tripleo/+bug/1657108 we need
to zero out the default rules in /etc/sysconfig/ip{6}tables in
the image.
We have done this for ipv4, but when we will do it for ipv6 we
will also need to make sure we add a rule for dhcpv6 traffic
as it is shipped in the iptables rpm. (See
https://bugzilla.redhat.com/show_bug.cgi?id=1169036 for more info)

With this change we correctly get the rule present (aka the first
ACCEPT line. The second line is due to the stock ip6tables rule
I had in my testing):
[root@overcloud-controller-0 ~]# iptables -nvL |grep 546
[root@overcloud-controller-0 ~]# ip6tables -nvL |grep 546
    0     0 ACCEPT     udp      *      *       ::/0 fe80::/64 multiport dports 546 /* 004 accept ipv6 dhcpv6 ipv6 */ state NEW
    0     0 ACCEPT     udp      *      *       ::/0 fe80::/64 udp dpt:546 state NEW

Change-Id: If22080054b2b1fa7acfd101e8c34d2707e8e7864
Partial-Bug: #1657108

Merge "horizon: be more flexible in hiera neutron"

Merge "Use TLS proxy for neutron server's internal TLS"

Merge "Support composable HA for the Ceph rbdmirror daemon"

Merge "Adding congress service"

horizon: be more flexible in hiera neutron

Requiring the neutron mechanism driver from hiera is too rigid, if
Neutron is not deployed in the catalog.
Be more flexible so catalog won't fail if the value is not set in Hiera.

Change-Id: I1475687c4dc53c77e763f42a440355a7c8d014bc
Partial-Bug: #1659662

Support composable HA for the Ceph rbdmirror daemon

Follow up patch for I63da4f48da14534fd76265764569e76300534472
to support composable HA for the Ceph rbdmirror daemon.

Change-Id: I3767bee4b1c7849fa85e71bcc57534b393d2d415

Use TLS proxy for neutron server's internal TLS

This uses the tls_proxy resource added in a previous commit [1] in
front of the neutron server when internal TLS is enabled. Right
now values are passed quite manually, but a subsequent commit will use
t-h-t to pass the appropriate hieradata, and then we'll be able to
clean it up from here.

Note that the proxy is only deployed when internal TLS is enabled.

[1] I82243fd3acfe4f23aab373116b78e1daf9d08467

bp tls-via-certmonger

Change-Id: I6dfbf49f45aef9f47e58b5c0dbedd2b4e239979e

Merge "Ensure basic Ceph configuration is performed by RBD mirror"

Merge "[keepalived] fix netmask for vip"

Adding congress service

Change-Id: Ic74ccd5fa7b3b04ca810416e5160463252f17474
Signed-off-by: Dan Radez <dradez@redhat.com>

Use transport_url for rabbitmq connection parameters in heat

Depends-On: I91b9959a6f71b4e6885e55a568116cc28cf16ddd

Change-Id: I1a152dd0a7e7949ee8d91a6f63425dba2406fcaf

Rename controller_admin_vip to controller_admin_host

Bring change of I53151d4f555d5d161a3e53ce5f022e3bf3b2ffbd into
puppet-tripleo.

Change-Id: I1227956a0389497eedc00e4ec817f52be608dc75
Related-Bug: #1643655

Merge "Adding tacker service"

Merge "Composable HA"

Merge "Remove double include of neutron::server class"

Add initial profiles for rest of Octavia services

Initial profile files for Octavia services.

Partially-implements: blueprint octavia-service-integration
Change-Id: Ic6f945cdf36744382a4a63fcc374d5562964ca68

Composable HA

This commit implements composable HA for the pacemaker profiles.
- Everytime a pacemaker resource gets included on a node,
  that node will add a node cluster property with the name of the resource
  (e.g. galera-role=true)
- Add a location rule constraint to force running the resource only
  on the nodes that have that property
- We also make sure that any pacemaker resource/property creation has a
  predefined number of tries (20 by default). The reason for this is
  that within composable HA, it might be possible to get "older CIB"
  errors when another node changed the CIB while we were doing an
  operation on it. Simply retrying fixes this.
- Also make sure that we use the newly introduced
  pacemaker::constraint::order class instead of the older
  pacemaker::constraint::base class. The former uses the push_cib()
  function and hence behaves correctly in case multiple nodes try
  to modify the CIB at the same time.

Change-Id: I63da4f48da14534fd76265764569e76300534472
Depends-On: Ib931adaff43dbc16220a90fb509845178d696402
Depends-On: I8d78cc1b14f0e18e034b979a826bf3cdb0878bae
Depends-On: Iba1017c33b1cd4d56a3ee8824d851b38cfdbc2d3

Adding tacker service

Change-Id: I3d6bbc05644e840395f87333ec80e3b844f69903

Remove double include of neutron::server class

This class was being included in the same way in two different branches
of the code which could be joined in the initial branch (or if
statement).

Change-Id: Iee3c1663a2fe929b21a9c089d89b721600af66bd

Ensure basic Ceph configuration is performed by RBD mirror

Previously we missed to perform the basic Ceph client configuration
on a node where only the RBD mirror service was deployed.

Change-Id: Ie6a4284a88714bcee964a38636e12aa88bb95c9d
Co-Authored-By: Michele Baldessari <michele@acksyn.org>
Related-Bug: #1652177

[keepalived] fix netmask for vip

For pacemaker we ensure netmask of virtual IP to 64bit for IPv6 and
32bit for IPv4. We should have feature parity in keepalived setup.[1]
The issue is that puppet picks first IP orf ifconfig output as and
interface IP. In case of IPv6 keepalived would add new IP to
interface with netmask 128 causing interface_for_ip to fail on
second puppet run.

[1] - https://github.com/openstack/puppet-tripleo/blob/master/manifests/pacemaker/haproxy_with_vip.pp

Closes-Bug: #1659309

Change-Id: Icb0c9a8d51a9bfcdc4b2caef9e52fdeb6f634cba

Fix wrong hiera key in ceph_rbdmirror

There is a typo in the bootstrap check which will lead to:
Could not find data item ceph_rbdmirror_bootstrap_short_node_name in any
Hiera data file and no default supplied at
/etc/puppet/modules/tripleo/manifests/profile/pacemaker/ceph/rbdmirror.pp

We need to be using the correct one:
$ hiera ceph_rbdmirror_short_bootstrap_node_name
overcloud-remote-0

Change-Id: Ic343e5f99e48360bdd2d2989781a4b6ca484e8fc

Merge "Clean TLS proxy-related setup for glance api profile"

Merge "Make sure we bind the rabbit inter-cluster to a specific interface"

Merge "pacemaker remote profile support"

Clean TLS proxy-related setup for glance api profile

Since the commit this depends on sets it up via hieradata, the
conditions here are no longer needed.

bp tls-via-certmonger
Change-Id: I66956f0b85e8e3bf1ab9562221d51d51c230b88e
Depends-On: I693213a1f35021b540202240e512d121cc1cd0eb

Merge "Use TLS proxy for Glance API's internal TLS"

Merge "updates to collectd support"

pacemaker remote profile support

This support enables a base profile called pacemaker_remote which will
allow the operator to automatically configure the pacemaker_remote
service on such nodes. This manifest also automatically adds any
pacemaker_remote nodes to the pacemaker cluster.

Depends-On: I0c01ecb7df1a0f9856fdc866b9d06acf0283fa4f
Depends-On: Ic0488f4fc63e35b9aede60fae1e2cab34b1fbdd5
Change-Id: I92953afcc7d536d387381f08164cae8b52f41605

Merge "Add retries to the ::pacemaker::stonith property"

Merge "Implement Nova ec2api profile"

Merge "Remove last bits of Glance Registry"

Merge "Add Ceph RBD mirror Pacemaker profile"

Use TLS proxy for Glance API's internal TLS

This uses the tls_proxy resource added in the previous commit [1] in
front of the Glance API server when internal TLS is enabled. Right
now values are passed quite manually, but a subsequent commit will use
t-h-t to pass the appropriate hieradata, and then we'll be able to clean
it up from here.

Note that the proxy is only deployed when internal TLS is enabled.

[1] I82243fd3acfe4f23aab373116b78e1daf9d08467

bp tls-via-certmonger
Depends-On: Id5dfb38852cf2420f4195a3c1cb98d5c47bbd45e

Change-Id: Id35a846d43ecae8903a0d58306d9803d5ea00bee

Remove last bits of Glance Registry

Glance Registry has been removed in TripleO. So we can clean
puppet-tripleo and remove last bits that used to deploy this service.

Change-Id: Iea8f6340349ab366606205305a3ec9a6e4f11ba6

Merge "Add haproxy firewall rules for galera and redis"