Merge "Make install of kolla optional on the undercloud"

Merge "etcd: Make HAProxy terminate TLS connections"

Make install of kolla optional on the undercloud

This defaults to 'True' to keep backward compatibility and can be
disabled by setting 'enable_container_images_built' to false in
undercloud.conf.

Depends-On: Ia3379cf66b1d6b180def69c2a5b22b2602baacef
Change-Id: I33e7e9a6a3865fed38f7ed6490455457da67782b

Merge "Stop SSHD profile clobbering SSH client config"

Merge "Ensure directory exists for certificates for httpd"

Stop SSHD profile clobbering SSH client config

Including the ::ssh manifest will manage both client and server config.
Managing the client config was not intended and will clobber the OS
default config with the puppet ssh moduled defaults.

Follow up for https://review.openstack.org/443113 where I found the issue after
the changes merged.

Change-Id: I6329f5ebbe8fc3950449e325e56293872d11e1b5
Related-Bug: 1668543

Ensure directory exists for certificates for httpd

We used to rely on a standard directory for the certificates and keys
that are requested by certmonger. However, given the approach we plan to
take for containers that's described in the blueprint, we need to use
service-specific directories for the certs/keys, since we plan to
bind-mount these into the containers, and we don't want to bind mount
any keys/certs from other services.

Thus, we start by creating this directories if they don't exist in the
filesystem and adding the proper selinux labels.

bp tls-via-certmonger-containers

Change-Id: I0b71902358b754fa8bd7fdbb213479503c87aa46

Merge "Add registry_mirror to base::docker profile"

Merge "Use docker profile in docker_registry"

etcd: Make HAProxy terminate TLS connections

When TLS is enabled for the internal network, HAProxy needs to handle
etcd's TLS termination. Else it will use plain text.

bp secure-etcd

Change-Id: I20651240edcff0953741d4e8e01fa9a7ab185863

Merge "Move etcd to step 2"

Add registry_mirror to base::docker profile

This patch adds a new registry_mirror option to help
configure /etc/docker/daemon.json so that we can make use
of HTTP docker mirrors within upstream TripleO CI (infra).

Change-Id: I4b966e9b9b174ca5a6f57974185e0149ea12f232

Use docker profile in docker_registry

The docker_registry profile has resources to configure
the docker service and package. These conflict with the
entries in the tripleo::profile::base::docker class which
exists specifically to manage these resources (and has
unit tests).

This patch removes the duplicate resources and updates
the docker_registry profile to simply include the
base docker profile instead.

This instack-undercloud change below needs to land first.
Depends-On: I6154f4c7435b02b92f6f64687e9ee89d6b86186a

Change-Id: I75c740e7efc6662861c28caeb7fa965ba55438cb

Merge "Adding listen_options for Contrail Webui https in haproxy"

Merge "TLS-everywhere: Add resources for libvirt's cert for live migration"

Merge "Stop including ironic::drivers::ssh in the ironic-conductor profile"

Merge "Enable creation of keystone domain when ldap backends are created"

Merge "syntax error extra comma in rabbitmq.pp"

Merge "Add networking-vpp ML2 mechanism driver support"

Merge "Add missing octavia auth include to keystone manifest"

Merge "Make galera-ready exec refreshonly"

syntax error extra comma in rabbitmq.pp

bundle rake syntax

Could not parse for environment *root*: Syntax error at ')'; expected '}'

Change-Id: Idfb254df068b3d7342a6ea3c71dabd1316a61bdf

Stop including ironic::drivers::ssh in the ironic-conductor profile

The SSH drivers are deprecated, pxe_ipmitool + virtualbmc should be used instead.
This is a follow-up to blueprint switch-to-virtualbmc.

Change-Id: I4fd567dffa3992042eebcf495334b8130e1bdc9f

TLS-everywhere: Add resources for libvirt's cert for live migration

This merely requests the certificates that will be used for libvirt's
live migration if TLS-everywhere is enabled.

bp tls-via-certmonger

Change-Id: If18206d89460f6660a81aabc4ff8b97f1f99bba7

Merge "Don't try and create the my.cnf.d dir everytime"

Enable creation of keystone domain when ldap backends are created

This sets the flag create_domain_entry for the ldap_backend resource,
which will create the domain for the ldap backend (this was previously
not the case since only the configuration was created). Furtherly, this
flag will also refresh the keystone server, so the changes come into
effect.

Note that this is only done in step 3, so the domains are created there
and the refresh happens in that step. Also, this is only done for the
bootstrap node, since when the other nodes start, they will already have
the domains available in the keystone database and there won't be a need
to restart.

Related-Bug: #1677603
Depends-On: Ib6c633b6a975e4b760c10a2aef3c252885b05e28
Change-Id: Id879cf5c5ae39d37bf58b73c78733001d2b03d9c

Merge "Composable services support for Cinder Pure Storage FlashArray"

Merge "Adjust UI manifest (language list)"

Merge "Migrate Swift ring handling from tripleo-heat-templates to puppet-tripleo"

Merge "Adding OVNDBs vip to keepalive"

Merge "Make the cluster-check property configurable"

Merge "Add httpchk for http services"

Merge "Include ironic::drivers::interfaces in the ironic-conductor profile"

Merge "Adding support for Bagpipe Agent as BGPVPN driver"

Merge "Add a trigger to call ldap_backend define"

Make galera-ready exec refreshonly

Previously we were always run the galera-ready exec every step. This
change switches it to be refreshonly so we only wait when the service is
setup or restarted.

Change-Id: I5ff9d49c2590751913b96777bcd72c8a15627a01
Closes-Bug: #1680586

Add missing octavia auth include to keystone manifest

This patch adds the appropriate include to make sure that appropriate
keystone user, services, etc. are created when octavia is selected.

Closes-bug: #1680588

Change-Id: I0b6d657a0300538292223923d8808c23f936c193

Don't try and create the my.cnf.d dir everytime

The creation of /etc/my.cnf.d is not idempotent and is run anytime the
mysql client profile is included. This change adds an unless parameter
to ensure it is only run if not used.

Change-Id: I4a30eaccf72f5687dc22ba93c19136e55d36dcab
Closes-Bug: #1680570

Adjust UI manifest (language list)

tripleo-ui is removing en-GB from the locale list, adjust the manifest
to reflect this change.

Change-Id: If3f6603d703a1af07a7eaab56e47e8b0b90947af
Related-Bug: #1680397

Merge "Clean up TLS-related bits from swift-proxy"

Merge "Fix missing groups for fluentd user"

Merge "Add TLS in the internal network for Swift Proxy"

Merge "Introduce profile to configure l2 gateway Neutron agent."

Add a trigger to call ldap_backend define

Ldap_backend is a define so we need a resource to talk it. If
ldap_backend_enable set by tripleo-heat-templates, we call the
ldap_backend as a resource.

Given an environment such as the following:

parameter_defaults:
  KeystoneLdapDomainEnable: true
  KeystoneLDAPBackendConfigs:
    tripleoldap:
      url: ldap://192.0.2.250
      user: cn=openstack,ou=Users,dc=redhat,dc=example,dc=com
      password: Secrete
      suffix: dc=redhat,dc=example,dc=com
      user_tree_dn: ou=Users,dc=redhat,dc=example,dc=com
      user_filter: "(memberOf=cn=OSuser,ou=Groups,dc=redhat,dc=example,dc=com)"
      user_objectclass: person
      user_id_attribute: cn
      user_allow_create: false
      user_allow_update: false
      user_allow_delete: false
  ControllerExtraConfig:
    nova::keystone::authtoken::auth_version: v3
    cinder::keystone::authtoken::auth_version: v3

It would then create a domain called tripleoldap with an LDAP
configuration as defined by the hash. The parameters from the
hash are defined by the keystone::ldap_backend resource in
puppet-keystone.

More backends can be added as more entries to that hash.

Partial-Bug: 1677603
Co-Authored-By: Juan Antonio Osorio Robles <jaosorior@redhat.com>
Co-Authored-By: Guillaume Coré <gucore@redhat.com>
Signed-off-by: Cyril Lopez <cylopez@redhat.com>
Change-Id: I1593c6a33ed1a0ea51feda9dfb6e1690eaeac5db

Migrate Swift ring handling from tripleo-heat-templates to puppet-tripleo

This allows decoupling the Swift ringbuilding logic from the Controller
and ObjectStorage roles. A follow up patch will modify
tripleo-heat-templates and use this modified class.

Actually this downloads the Swift rings even if ring building is
disabled or if there is no need to rebalance. This is required, because
operators can disable ring building, but use the same mechanism to
distribute pre-built rings to the nodes.

If ring building is disabled, these won't be uploaded at the end back to
the undercloud.

Related-Bug: 1665641
Change-Id: Ifd6fa5b398d98e8998630ea0c9a2ce9867ceba2b

Merge "Certmonger/rabbitmq: Remove parameter doc for unexisting parameter"

Adding support for Bagpipe Agent as BGPVPN driver

Partially-Implements: blueprint bgpvpn-service-integration

Change-Id: I54ef40f9d958e87d187a6d124995aa6951c0651a
Signed-off-by: Ricardo Noriega <rnoriega@redhat.com>

Merge "SSHD Service extensions"

Make the cluster-check property configurable

This change will make the global cluster-check property configurable
and will pick a lower default (60s) in case a pacemaker remote node
is deployed.

The cluster-recheck-interval is set to default to 15minutes by
pacemaker. This value is too high when a pacemaker remote service
is deployed. With this default value a reboot of a pacemaker remote
node will be reported as offline by pacemaker for up to 15minutes.

With this change we do the following:
1) Do nothing in case pacemaker remote is not deployed
2) When pacemaker remote is deployed and the operator has not
   specified otherwise, we set the recheck interval to 60s.
3) When the operator specifies the recheck interval we set that.

Change-Id: I900952b33317b7998a1f26a65f4d70c1726df19c
Closes-Bug: #1679753

Certmonger/rabbitmq: Remove parameter doc for unexisting parameter

This parameter was used at some point in the implementation but ended up
not being needed in favor of getting this information from the puppet
manifest. So it's removed as the parameter doesn't actually exist.

Change-Id: I09f4091ee7a2221b26249959ea2927090d36ba0f

Move etcd to step 2

Etcd should be configured and started in step 2 with other core
services when required.

Change-Id: If95a74d211a194f2bfbe9653a6e19e05b095a210
Signed-off-by: Feng Pan <fpan@redhat.com>

Merge "Configure migration SSH tunnel"

Merge "Refactor enabled languages from an array to a hash"

Merge "Use correct manage_firewall hieradata"

Merge "Fixes missing neutron base in sriov"

Merge "Remove cluster_enabled setting for etcd"

Add httpchk for http services

The httpchk health check option should help reduce the situtations
where haproxy thinks the service is up but the service is only
listening and not actively serving http requests.

Change-Id: I13cc5dcf2eea53731e756d078586ab9a97340912
Closes-Bug: #1629052

SSHD Service extensions

This change adds an `include` statement to bring in the extra
functionality available from the existing puppet-ssh module in
already available in RDO.

By using puppet-ssh it provides a framework to allow the passing in of
server options using just hiera values under ssh::server_options.
For example, sshd_config banner can now be passed a server option, as
well as all the new parameters outlined in the launchpad issue that
the patch references for Closing. For this reason, the former augeas
setting for `Banner /etc/issue` is now managed by the main puppet-ssh
module instead.

The change also allows population of MOTD text to `/etc/motd` as
well as `issue.net`.

$bannertext is refactored in accordance with patch [1]

[1] https://review.openstack.org/#/c/442406/

Change-Id: Id329538fb7b623526f1d91d8a513cf3440c86a7c
Closes-Bug: 1668543

Clean up TLS-related bits from swift-proxy

bp tls-via-certmonger
Change-Id: I8a66d3a067f934ea30b668308237cbca1d58fbb8
Depends-On: I3cb9d53d75f982068f1025729c1793efaee87380

Add TLS in the internal network for Swift Proxy

This adds the necessary bits for a TLS Proxy to be placed in front of
swift proxy when TLS-everywhere is enabled.

This will be furtherly cleaned up once the t-h-t bits are added.

bp tls-via-certmonger

Change-Id: I6e7193cc5b4bb7e56cc89e0a293c91b0d391c68e

Merge "Deploy WSGI apps at the same step (3)"

Merge "Add tunnel timeout for ui proxy container"

Composable services support for Cinder Pure Storage FlashArray

Added the heat templates for Cinder Pure Storage FlashArray
backend to use composable services

Change-Id: I6f46f45a3af394de85672261c7d72ddc492a07b2

Include ironic::drivers::interfaces in the ironic-conductor profile

This enables configuring new-style drivers (aha hardware types).

Part of blueprint ironic-driver-composition

Change-Id: I72eb8b06cca14073d1d1c82462fb702630e02de3

Restrict mongodb memory usage

Currently, mongodb has no limits on how much memory
it can consume. This enforces restriction so mongodb
service limits through systemd.

The puppet-systemd module has support for limits. The
MemoryLimit support is added in the follwoing pull
request https://github.com/camptocamp/puppet-systemd/pull/23

Closes-bug: #1656558

Change-Id: Ie9391aa39532507c5de8dd668a70d5b66e17c891

Fixes missing neutron base in sriov

This causes issues in deployments that is not using ML2
ComputeNeutronCorePlugin or OVS agent on the compute nodes.

Closes-Bug: 1679202

Change-Id: I9cdfd115add8c0d2d3ae6802e7bde007c1677c67
Signed-off-by: Tim Rozet <trozet@redhat.com>

Use correct manage_firewall hieradata

The manage_firewall hieradata was moved to
tripleo::firewall::manage_firewall but some of the references to it
were not updated, which makes it impossible to completely disable
the firewall rules.

Change-Id: I5f40f3b8b07bd312cce862aa319b8a1ef331ee49
Closes-Bug: 1679189

Configure migration SSH tunnel

This patch configures SSH tunneling for nova cold-migration and reuses the
tunnel for libvirt live-migration unless TLS has been enabled.

Change-Id: I367757cbe8757d11943af7e41af620f9ce919a06
Depends-On: Iac1763761c652bed637cb7cf85bc12347b5fe7ec

Deploy WSGI apps at the same step (3)

So we avoid useless apache restart and save time during the deployment.

Related-Bug: #1664418
Change-Id: Ie00b717a6741e215e59d219710154f0d2ce6b39e

Move horizon to step 3

We configure apache in step 3 so horizon should be configured at the
same time or else updates will cause horizon to be unvailable during the
update process.

Change-Id: I4032f7c24edc0ff9ed637e213870cdd3beb9a54e
Closes-Bug: #1678338

Merge "Decouple ceilometer user create from API"

Add tunnel timeout for ui proxy container

Add an explicit tunnel timeout configuration option to increase the
tunnel timeout for persistent socket connections from two minutes (2m)
to one hour (3600s).  A configuration was already present to apply a
tunnel timeout to the zaqar_ws endpoint, but that only applies to
connections made directly to the zaqar_ws endpoint directly.  Since UI
now uses mod_proxy to proxy WebSocket connections for Zaqar, the timeout
is now applied for the same reasons to the ui haproxy server.

Change-Id: If749dc9148ccf8f2fa12b56b6ed6740f42e65aeb
Closes-Bug: 1672826

Merge "Add missing include of ::ec2api::keystone::authtoken"

Merge "Fix deprecated eqlx parameters"

Decouple ceilometer user create from API

Ceilometer user is needed for other ceilometer services to
authenticate with keystone even when API is not present.
So the data can be dispatched to gnocchi. Lets keep these
separate so user always exists even when api is not.

Depends-On: Iffebd40752eafb1d30b5962da8b5624fb9df7d48

Closes-bug: #1677354

Change-Id: I8f4e543a7cef5e50a35a191fe20e276d518daf20

Merge "Tuned should be configured properly"

Fix missing groups for fluentd user

This patch moves fluentd deployment to step 4 (the same as openstack services)
and makes resource for user fluentd be dependent on all openstack packages,
so that we avoid errors such as "usermod: group 'cinder' does not exist".

Change-Id: Ibabd4688c00c6a12ea22055c95563d906716954d

Merge "securetty: use validate_array for tty list"

Merge "Move neutron profile out of step 4"

Refactor enabled languages from an array to a hash

Change-Id: I5173361818508849e5012a943a984af69d9d08cd
Depends-On: I2d28d9019e8bcf9f6b8ef5698958932d44321679
Closes-Bug: #1668978

securetty: use validate_array for tty list

Change-Id: I1e79407ec6f360a2b205cec6cf8e812a11b799ea

Merge "Adds service for managing securetty"

Merge "Qpid dispatch router puppet profile"

Adds service for managing securetty

This adds the ability to manage the securetty file.

By allowing management of securetty, operators can limit root
console access and improve security through hardening.

Change-Id: Ic4647fb823bd112648c5b8d102913baa8b4dac1c
Closes-Bug: #1665042

Fix reno for rabbitmq-user-check

Change-Id: I5eed22ab0230a477d1629545b8ab1aeff33f4a35

Qpid dispatch router puppet profile

Depends-On: I4b56417ce8ee7502ad32da578bdc29c46e459bd5
Change-Id: Idecbbabdd4f06a37ff0cfb34dc23732b1176a608
Author: John Eckersberg <jeckersb@redhat.com>

Introduce profile to configure l2 gateway Neutron agent.

Implements: blueprint l2gw-service-integration

Change-Id: If1501c153b1b170b9550cb7e5a23be463fba1fe9

Merge "Re-run gnocchi and ceilometer upgrade in step 5"

Merge "Include oslo.messaging amqp support for rpc and notifications"

Merge "Add openstack-kolla to docker-registry profile"

Merge "Check rabbitmq user at step >= 2"

Merge "Include ceph::profile::client from rgw.pp"

Add missing include of ::ec2api::keystone::authtoken

Change-Id: Id933276fab16eebd72751dca136ad805547e6291
Related-Bug: #1676491

Re-run gnocchi and ceilometer upgrade in step 5

Without this gnocchi resources types are not created
as they are skipped initially and the resources from
ceilometer wont make it to gnocchi.

Closes-bug: #1674421

Depends-On: I753f37e121b95813e345f200ad3f3e75ec4bd7e1

Change-Id: Ib45bf1b3e526a58f675d7555fe7bb5038dadeede

Add l2 gateway Neutron service plugin profile

Introduce profile to configure l2 gateway Neutron
service plugin.

Implements: blueprint l2gw-service-integration

Change-Id: I01a8afdc51b2a077be1bbc7855892f68756e1fd3
Signed-off-by: Peng Liu <pliu@redhat.com>

Remove certificate request bits from service profiles

This is now the job of the certmonger_user profile. So these bits are
not needed anymore in the service profiles.

Change-Id: Iaa3137d7d13d5e707f587d3905a5a32598c08800
Depends-On: Ibf58dfd7d783090e927de6629e487f968f7e05b6

Ensure iscsi-initiator-utils installed

We attempt to use iscsi-iname in an exec for our nova compute profile
but we do not ensure that the package providing this command is
installed. This change adds the package definition for
iscsi-initiator-utils to ensure it is installed before trying to use
iscsi-iname.

Change-Id: I1bfdb68170931fd05a09859cf8eefb50ed20915d
Closes-Bug: #1675462

Check rabbitmq user at step >= 2

The rabbitmq user check is moved to step >= 2 from step >= 1. There is
no gaurantee that rabbitmq is running at step 1, especially if updating
a failed stack that never made it past step 1 to begin with.

Change-Id: I029193da4c180deff3ab516bc8dc2da14c279317
Closes-Bug: #1675194

Adding listen_options for Contrail Webui https in haproxy

Without balance source and hash-type consistent traffic to
Contrail Webui https is not correctly load-balanced

Change-Id: I05a5aeea7db801c1403ef3c4dd4f94480fd8692e

Move neutron profile out of step 4

This submission moves the neutron profile
`::tripleo::profile::base::neutron`
our of step 4.

Change-Id: I4d0617b0d7801426ea6827e70f5f31f10bbcc038