Merge "Add support for autofencing to Pacemaker Remote." into stable/ocata

Merge "Add ignore_projects to filter gnocchi events" into stable/ocata

Merge "Dell SC: Add exclude_domain_ip option" into stable/ocata

Merge "Add fqdn_external" into stable/ocata

Add ignore_projects to filter gnocchi events

Without this, ceilometer db gets hammered with gnocchi swift events.
Keystone creds are required so middleware can query for id.

Related change:  I5c0f4f1a2c7fe7eb39ea6441970e9ac0946a4ec1

Change-Id: I9a7a80252703e470a69dc10352e7ece45ab23150
(cherry picked from commit 37447494de7380409f4461835a2b1882ead37985)

Dell SC: Add exclude_domain_ip option

This option allows users to exclude some fault domains.
Otherwise all domains are returned.

Change-Id: Iefd1a44c8fe217aee5845bba35def571317bb123
Closes-Bug: #1681490
Depends-On: I6eb2bcc7db003a5eebd3924e3e4eb44e35f60483
(cherry picked from commit e0bc8d6813d7cd0ecbef1dfe17d9d3cfec4225d7)

Merge "Dell SC: Add secondary DSM support" into stable/ocata

Add fqdn_external

In newton, we used to construct the fqdn_$NETWORK in puppet-tripleo for
external, internal_api, storage, storage_mgmt, tenant, management, and
ctrlplane. When this was moved into THT, we accidently dropped external
which leads to deployment failures if a service is moved to the external
network and the configuration consumes the fqdn_external hiera key.
Specifically this is reproduced if the MysqlNetwork is switch to to
exernal, then the deployment fails because the bind address which is set
to use fqdn_external is blank.

Change-Id: I01ad0c14cb3dc38aad7528345c928b86628433c1
Closes-Bug: #1697722
(cherry picked from commit 426de202880c890360bd446907aca44ca1e73a03)

Moving *postconfig where it was *postpuppet

We need to ensure that the pacemaker cluster restarts
in the end of the deployment.

Due to the resources renaming we added the
postconfig resource not in the end of the
deployment as it was *postpuppet.

Closes-bug: 1695904

Change-Id: Ic6978fcff591635223b354831cd6cbe0802316cf

Add support for autofencing to Pacemaker Remote.

We now pass configuration for autofencing to Pacemaker Remote nodes.

Change-Id: Ibb9c65a83cc909528024c538cf3bcc96390c555e
Depends-On: I87c60bd56feac6dedc00a3c458b805aa9b71d9ce
Closes-Bug: #1686115
(cherry picked from commit 05953542a6b688ee549671a46cecb5951b6c3fee)

Expose metric delay processing metric

For performance reasons we might want to tweak this param
lets expose this via tripleo. The puppet changes were
added in this patch I5de5283d1b14e0bba63d6d9a440611914ba86ca4

Change-Id: I72f1fe3a47060fe37602a70b8a74fba72209127c
(cherry picked from commit e33e76684c9b60b9ce50ad7996529ed49dddd9d9)

Fix the constraints for THT params NeutronDpdkCoreList and HostCpusList

This fix needs to be backported to ocata.

Conflicts:
puppet/services/neutron-ovs-dpdk-agent.yaml

Signed-off-by: Karthik S <ksundara@redhat.com>
Closes-Bug: #1694703
Change-Id: I5938761efa4f56e576f41929e0bc12df246ac81a
(cherry picked from commit 61480182f8a6f27ab7e1e73b9dd79e17a4927f0f)

Merge "Restrict nova migration ssh tunnel" into stable/ocata

Merge "Handle upgrading cinder-volume under pacemaker" into stable/ocata

Merge "Updated from global requirements" into stable/ocata

Handle upgrading cinder-volume under pacemaker

Add upgrade tasks for cinder-volume when it's controlled by pacemaker:

o Stop the service before the entire pacemaker cluster is stopped.
  This ensures the service is stopped before infrastructure services
  (e.g. rabbitmq) go away.
o Migrate the cinder DB prior to restarting the service. This covers
  the situation when puppet-cinder (who otherwise would handle the db
  sync) isn't managing the service.
o Start the service after the rest of the pacemaker cluster has been
  started.

Closes-Bug: #1691851
Change-Id: I5874ab862964fadb68320d5c4de39b20f53dc25c
(cherry picked from commit c4e3bbe039135f32f0e198365e704b3dbfd00290)

Restrict nova migration ssh tunnel

Specify the allowed networks for migration ssh tunneling.

bp tripleo-cold-migration

Change-Id: Iab022bdfb655e3c52fecebf416e75c9e981072ab
Depends-on: Idb56acd1e1ecb5a5fd4d942969be428cc9cbe293
(cherry picked from commit 3d8af2fcf8e2d41600fa10584120a8117e7ef40c)

Updated from global requirements

Change-Id: Ife3a3ee576b940f1f8a06d26a0cb99d69423cf9f

Enable arp_accept for all interfaces

OpenStack heavily relies on gratuitous ARP updates when moving floating
IP addresses between devices. When a floating IP moves, Neutron L3 agent
issues a burst of gratuitous ARP packets that should update any existing
ARP table entries on all nodes that belong to the same network segment.

Due to locktime kernel behavior, some gratuitous ARP packets may be
ignored [1], rendering ARP table entries broken for some time. Due to a
kernel bug [2], the time may be as long as hours, depending on other
traffic flowing to the node.

With the current EL7 kernel, the only way to make sure that nodes honor
all sent gratuitous ARP updates is to set arp_accept to 1; this will
disable locktime mechanism for the packets sent by Neutron L3 agent, and
will make sure ARP tables are always updated.

[1] https://patchwork.ozlabs.org/patch/762732/
[2] https://bugzilla.redhat.com/show_bug.cgi?id=1450203

Conflicts:
puppet/services/kernel.yaml

Related-Bug: #1690165
Change-Id: I863b240e0ab4c4d5bb844f91b607fd0937d5cedf
(cherry picked from commit 804fd3427eeb31a2846ee096dbdac924ec39bcbc)

Add heat environment for disabling all telemetry services

This will be used in our HA OVB CI job where we currently are
failing due to running out of memory. Telemetry will still be
tested via scenarios, but this will free up a large chunk of
memory in the most memory intensive job.

Closes-Bug: 1693174
Change-Id: Idefe9f0de47c5b0f29b7326642d697ed179e2eb8
(cherry picked from commit 0751d69e3b6560ef87ed43859df92fdcc08f9cd1)

Add $STACK_NAME input var

The stack name can now be overridden in the get-occ-config.sh script for
deployed-server's by setting the $STACK_NAME variable in the
environment.

Change-Id: Iecba21499b80e463b4c629be53c309996d39472d
Closes-Bug: #1686719
(cherry picked from commit e17590c69e599a3eb6b4a18d2d6dbef9dede9ea8)

Dell SC: Add secondary DSM support

Adds support for a secondary DSM in case the primary becomes
unavailable.

Change-Id: I0887e15a7e1c90a4f333bef6cdbb5d43ba0cd838
Closes-Bug: #1681492
Depends-On: I331466e4f254b2b8ff7891b796e78cd30c2c87f7
(cherry picked from commit 69be0c2ae7131af20385b4f11a8190ed9fba32c7)

Merge "Timeout early on pcs cluster status check0 during upgrade." into stable/ocata

Merge "Addition of firewall rules for Nuage" into stable/ocata

Merge "Disable Manila CephFS snapshots by default" into stable/ocata

Add NodeCreateBatchSize parameter

This uses the heat resource group batched create feature to ensure
we don't create more than 30 nodes at a time, which has been reported
as the maximum supported by the default ironic ipxe/TFTP configuration.

Closes-Bug: #1688550
Change-Id: If3651e4c465d8d7bd4c8f2b48d45b1272ff2d272
Depends-On: I3551456664daf89d01f98bde85d7fb22a01d4a03
(cherry picked from commit 129881f2c600217ff06b4570950b4e60ff9a63b5)

Timeout early on pcs cluster status check0 during upgrade.

There is a windows for the pcs cluster status to hang forever[1].  We
add a timeout during check0 to avoid this situation.  2 minutes should
be more than enought to get all the pcsd nodes to reply.

[1] https://bugzilla.redhat.com/show_bug.cgi?id=1292858

Closes-Bug: #1680477

Change-Id: Icb3dc76e031a3d4f26294f37d169f2f61d30973e
(cherry picked from commit 0ea21f51a8128e536404ffd87f741443c9287593)

Merge "Disable ComputeNeutron* for cisco-nexus-ucsm" into stable/ocata

Fix SshHostPubKeyDeployment on containerized nova-compute.

This is failing since https://review.openstack.org/458672 merged
because the ssh host keys are not mapped to the container.

Change-Id: Ie868654f13bee04da642337cc344871903f40473
Closes-bug: #1690911

Disable ComputeNeutron* for cisco-nexus-ucsm

It seems this wasn't adjusted when https://review.openstack.org/#/c/338315/
landed, which added interfaces for compute specific neutron configuration,
which is disabled for most vendor backends.

Change-Id: I4c98008107568b3b65decd7640e25c7d2b1ea9ff
Related-Bug: #1687597
(cherry picked from commit 95fbda4d0254edb12bfec1ccd41d3b5f6204fe8f)

Merge "Fix for the resource ControllerPostPuppetMaintenanceModeDeployment" into stable/ocata

Merge "Merge pre|post puppet resources into pre|post config." into stable/ocata

Fix for the resource ControllerPostPuppetMaintenanceModeDeployment

Depends-On: If88f403c85b79bd896a24c7816486709bd67706f
Closes-Bug:1686619
Change-Id: I7c32ca39a456de9833d30c31d41fcb727d2b0a34
(cherry picked from commit 77b4bd53dae1882ae3094597e674218b7773eda9)

Merge pre|post puppet resources into pre|post config.

The [Pre|Post]Puppet resources were renamed in
https://review.openstack.org/#/c/365763.
This was intended for having a pre/post deployment
steps using an agnostic name instead of
being attached to a technology.

The renaming was unintentionally reverted in
https://review.openstack.org/#/c/393644/ and
https://review.openstack.org/#/c/434451.

This submission merge both resources into one,
and remove the old pre|post hooks.

Change-Id: Ic9d97f172efd2db74255363679b60f1d2dc4e064
Closes-bug: #1669756
(cherry picked from commit 258c6ce52d0c8467f34693722a883d96345802b2)

Fix up pacemaker_status test in yum_update.sh

In change I2aae4e2fdfec526c835f8967b54e1db3757bca17 we did the
following:
-pacemaker_status=$(systemctl is-active pacemaker || :)
+pacemaker_status=""
+if hiera -c /etc/puppet/hiera.yaml service_names | grep -q pacemaker;
then
+ pacemaker_status=$(systemctl is-active pacemaker)
+fi

we did that so due to LP#1668266: we did not want systemctl is-active to
fail on non pacemaker nodes. The problem with the above hiera check is
that it will match on pacemaker_remote nodes as well.

We cannot piggyback the pacemaker_enabled hiera key because that is true
on all nodes. So let's make the test check only for pacemaker service
without matching pacemaker remote. Tested with:
1) Test on a controller node with pacemaker service enabled
[root@overcloud-controller-0 ~]# hiera -c /etc/puppet/hiera.yaml -a service_names |grep '\bpacemaker\b'
"pacemaker",
[root@overcloud-controller-0 ~]# echo $?
0

2) Test on a compute node without pacemaker:
[root@overcloud-novacompute-0 puppet]# hiera -c /etc/puppet/hiera.yaml service_names |grep '\bpacemaker\b'
[root@overcloud-novacompute-0 puppet]# echo $?
1

3) Test on a node with pacemaker_remote in the service_names key:
[root@overcloud-novacompute-0 puppet]# hiera -c /etc/puppet/hiera.yaml service_names |grep '\bpacemaker\b'
[root@overcloud-novacompute-0 puppet]# echo $?
1

[root@overcloud-novacompute-0 puppet]# hiera -c /etc/puppet/hiera.yaml service_names |grep '\bpacemaker_remote\b'
 "pacemaker_remote"]
[root@overcloud-novacompute-0 puppet]# echo $?
0

NB: cherry-pick was not 100% clean due to unrelated lines being cleaned
up in master.

Change-Id: I54c5756ba6dea791aef89a79bc0b538ba02ae48a
Closes-Bug: #1688214
(cherry picked from commit 2244290424ffa7781fb5b64688908c218cd10ecd)

Initial VIP ipv6 minor update code

To test this change we deployed a stock master with ipv6 which created a bunch
of ipv6 with /64 netmask:
[root@overcloud-controller-0 ~]# pcs resource show ip-fd00.fd00.fd00.2000..18
 Resource: ip-fd00.fd00.fd00.2000..18 (class=ocf provider=heartbeat type=IPaddr2)
  Attributes: ip=fd00:fd00:fd00:2000::18 cidr_netmask=64
  Operations: start interval=0s timeout=20s (ip-fd00.fd00.fd00.2000..18-start-interval-0s)
              stop interval=0s timeout=20s (ip-fd00.fd00.fd00.2000..18-stop-interval-0s)
              monitor interval=10s timeout=20s (ip-fd00.fd00.fd00.2000..18-monitor-interval-10s)

Then we update the THT folder with this patch and upload the new scripts on the undercloud via:
openstack overcloud deploy --update-plan-only ....

Then we kick off the minor update workflow:
openstack overcloud update stack -i overcloud

Once the controller-0 node (bootstrap node for pacemaker) is completed we have the
correct VIP configuration:
[root@overcloud-controller-0 heat-config-script]# pcs resource show ip-fd00.fd00.fd00.2000..18
 Resource: ip-fd00.fd00.fd00.2000..18 (class=ocf provider=heartbeat type=IPaddr2)
  Attributes: ip=fd00:fd00:fd00:2000::18 cidr_netmask=128 nic=vlan20 lvs_ipv6_addrlabel=true lvs_ipv6_addrlabel_value=99
  Operations: start interval=0s timeout=20s (ip-fd00.fd00.fd00.2000..18-start-interval-0s)
              stop interval=0s timeout=20s (ip-fd00.fd00.fd00.2000..18-stop-interval-0s)
              monitor interval=10s timeout=20s (ip-fd00.fd00.fd00.2000..18-monitor-interval-10s)

Also verified that running the script a second time does not alter the
(already fixed) VIPs.

Co-Authored-By: Damien Ciabrini <dciabrin@redhat.com>
Change-Id: I765cd5c9b57134dff61f67ce726bf88af90f8090
(cherry picked from commit 4923f5c4991bd539888b4175fae20025d6ef3957)

Addition of firewall rules for Nuage

Added VxLAN and metadata agent firewall rules to neutron-compute-plugin
for Nuage. Removed a deprecated parameter 'OSControllerIp' as well.

Change-Id: If10c300db48c66b9ebeaf74b5f5fee9132e75366
(cherry picked from commit d5309c9443cbfe50ba5e7c15f025393a58b0804c)

Ensure AllNodesExtraConfig runs before AllNodesDeploySteps

When implementing custom roles, we lost an implicit dependency that
ensured AllNodesExtraConfig is applied before AllNodesDeploySteps,
which causes problems if you need to write hieradata via the
AllNodesExtraConfig hook (some cisco integrations we have in tree
do this, and are now broken because the ordering is no longer ensured.

Change-Id: Ie78ecbb4e135ab7f196867ef9d8d271049a9cd10
Closes-Bug: #1687597
(cherry picked from commit 4efc067a7e2965fc7a07eb05b019d0e3e8160606)

Unset the UpgradeInitCommand on converge

In the converge envs we unset the UpgradeInitCommon since we used
that for the N..O upgrades workflow. However an operator may have
also overridden the UpgradeInitCommand so we should unset that
too.

Closes-Bug: 1686918
Change-Id: I3b316d04b78a4ab1e3f9f69948e42e6fb0ad6632
(cherry picked from commit 7d87b8225bd640fee4b55fd66e793391526f6d54)

Merge "Change the default for rabbitmq back to ha-mode: all" into stable/ocata

Merge "upgrades: deploy mod_ssl when upgrading apache" into stable/ocata

Merge "Prepare 6.1.0 (ocata)" into stable/ocata

Merge "Cinder-api upgrade: use httpd instead of apachectl" into stable/ocata

Merge "Align hyperconverged-ceph.yaml environment and adds some validation" into stable/ocata

Prepare 6.1.0 (ocata)

Change-Id: Idb0423f9cf76234b9f44cacf32dd34cd9ae4e655

upgrades: deploy mod_ssl when upgrading apache

1) When Apache is upgraded, install mod_ssl rpm.
   See https://bugs.launchpad.net/tripleo/+bug/1682448
   to understand why we need mod_ssl.

2) All services that run Apache for API will use the snippet from
   Apache service to deploy mod_ssl, so we don't duplicate the code
   in all services. It's using the same mechanism as ovs upgrade to
   compile upgrade_tasks between both services.

Change-Id: Ia2f6fea45c2c09790c49baab19b1efcab25e9a84
Closes-Bug: #1686503
(cherry picked from commit a6041608ca68aad4298ed9e8febafc442a250a55)

Cinder-api upgrade: use httpd instead of apachectl

It doesn't work downstream, so the httpd command was recommended.

Change-Id: I4807333b80dad10f16e5deb56cbfdda656cd1e50
(cherry picked from commit 0b05d7fd9b0e8811755499642647919eaf64cc39)

Change the default for rabbitmq back to ha-mode: all

In change Ib62001c03e1e08f58cf0c6e0ba07a8879a584084 we switched the
rabbitmq queues HA mode from ha-all to ha-exactly. While this gives us a
nice performance boost with rabbitmq, it makes rabbit less resilient to
network glitches as we painfully found out via
https://bugzilla.redhat.com/show_bug.cgi?id=1441635.

This is the THT part of the change that changes the default to
ha-mode: all.

NB: not clean cherry-pick due to the added metadata_settings line in
master

Closes-Bug: #1686337
Co-Authored-By: Damien Ciabrini <dciabrin@redhat.com>
Co-Authored-By: John Eckersberg <jeckersb@redhat.com>
Change-Id: I7afcf2b3c8deb13fc2134e4cae9c06a44e775384
Depends-On: I9a90e71094b8d8d58b5be0a45a2979701b0ac21c
(cherry picked from commit 90fc4b2e27ef6f612a82dfc5e08884629d0fe0bf)

Increase documentation about parameters

CollectdServer, CollectdServerPort, CollectdSecurityLevel, CollectdUsername, CollectdPassword

Change-Id: I43a0aca6f620f2570bdfd88531e70611867337b0
(cherry picked from commit f209f0aa48d277ecb8300ef33225f6ce6e24a4ae)

Merge "SSHD Service extensions" into stable/ocata

Merge "sensu: fix upgrade case when service is added" into stable/ocata

Merge "Deploy ceilometer_auth_enabled to node containing keystone" into stable/ocata

Merge "Remove no longer used environment files - older upgrade workflows" into stable/ocata

Merge "Add migration SSH tunneling support" into stable/ocata

Merge "SSH known_hosts config" into stable/ocata

Deploy ceilometer_auth_enabled to node containing keystone

This hiera key is used by keystone to create the ceilometer service
user. It works in CI cause keystone and the ceilometer services are in
the same node. However, this fails if keystone is deployed on a separate
note.

We should only deploy it in the nodes containing the keystone service
since it's only relevant to create the service user.

Change-Id: Ic0f02fe9a78a1fe14ac2b87197692fbd80c003b8
Closes-Bug: #1685828
(cherry picked from commit f1f6b5dc7d698a36f04186856fb94b4115d121dc)

Disable Manila CephFS snapshots by default

Because CephFS Snapshots are still an experimental feature and
also Manila Ceph driver has this feature disabled by default,
it makes sense to not override this value by default.

Change-Id: I3dacbd7a3c673d2f34998ee9f433889727c6a0f7
(cherry picked from commit 99371a90a29b4f9ffda606263540a1ef0b919633)

Remove no longer used environment files - older upgrade workflows

In I7831d20eae6ab9668a919b451301fe669e2b1346 we removed some of
the old upgrades but left the environment files removed here.

Related-Bug: 1673447
Change-Id: Ib3eca5687285b280832d19b647c3b4aa3d9ac36d
(cherry picked from commit 61632a621b1ef0fc0e3d20080eb8a5ff05952bbe)

sensu: fix upgrade case when service is added

When service is added during an upgrade, fix the ansible syntax
to use the right variable for return code.

Change-Id: I974699fb8b0dcbe5ffa6935c394df4ac8e7b21d4
(cherry picked from commit deb9b4cad5a59e650922067841604a4bc121c228)

Merge "Fix bogus parameters in get_param" into stable/ocata

SSHD Service extensions

This change implements a MOTD message and provides a hash of
sshd config options which are sourced to the puppet-ssh module
as a hash.

The SSHD puppet service is enabled by default, as it is
required for Idb56acd1e1ecb5a5fd4d942969be428cc9cbe293.
Also added the service to the CI roles.

Change-Id: Ie2e01d93082509b8ede37297067eab03bb1ab06e
Depends-On: I1d09530d69e42c0c36311789166554a889e46556
Closes-Bug: #1668543
Co-Authored-By: Oliver Walsh <owalsh@redhat.com>
(cherry picked from commit 5e14f95a4a46fcf88293f1b0fa93327566614d43)

Merge "N->O Manual puppet commands have the right modulepath." into stable/ocata

Merge "Run token flush cron job hourly by default" into stable/ocata

Merge "Update Dell EMC Cinder back end services" into stable/ocata

Merge "Add composable role support for NetApp Cinder back end" into stable/ocata

Merge "Replace references to the 192.0.2 network" into stable/ocata

Merge "N->O upgrade, fix wrong parameters to nova placement." into stable/ocata

Add migration SSH tunneling support

This enables nova cold migration.

This also switches to SSH as the default transport for live-migration.
The tripleo-common mistral action that generates passwords supplies the
MigrationSshKey parameter that enables this.
The TCP transport is no longer used for live-migration and the firewall
port has been closed.

Change-Id: I4e55a987c93673796525988a2e4cc264a6b5c24f
Depends-On: I367757cbe8757d11943af7e41af620f9ce919a06
Depends-On: I9e7a1862911312ad942233ac8fc828f4e1be1dcf
Depends-On: Iac1763761c652bed637cb7cf85bc12347b5fe7ec
(cherry picked from commit 0271a63e52b961eab0da2f5c6a61811a7a1498f7)

SSH known_hosts config

Fetch the host public keys from each node, combine them all and write to the
system-wide ssh known hosts. The alternative of disabling host key
 verification is vulnerable to a MITM attack.

Change-Id: Ib572b5910720b1991812256e68c975f7fbe2239c
(cherry picked from commit 7d3552a105ad5aa62cad0998c11df5ec6bd06ed6)

Merge "Use comma_delimited_list for token flush cron time settings" into stable/ocata

N->O Manual puppet commands have the right modulepath.

In two places during upgrade we manually trigger puppet.

There can be a problem when new puppet modules are added, and their
corresponding symlinks in /etc/puppet/modules are not created during
the installation as their are installed in
/usr/share/openstack-puppet/modules.  To prevent the issue tripleo set
modulepath in the templates.

We must use the same modulepath to make sure that we don't fail
because of missing module in the manual puppet run.

This particulary happens when you upgrade from M->N->O, as the base
image in Mitaka doesn't have the proper symlinks and they are not
created during the installation of the package.

Closes-Bug: #1684587

Change-Id: I79df6ea33f1c58e13309176a6de41b7572541fd6
(cherry picked from commit 79c2d0f3d411da9e57731d9da79d25a3e0364eb2)

Merge "Touch /etc/httpd/conf.d/ssl.conf" into stable/ocata

N->O upgrade, fix wrong parameters to nova placement.

According to [1] we need os_region_name, not region_name.  Furthermore
the os_interface is configured as well.  The hard check on this
parameter was introduced in ocata[2], explaining why the newton version
did not chock on it.

[1] https://docs.openstack.org/ocata/config-reference/compute/config-options.html
[2] https://github.com/openstack/nova/commit/d486315e0

Closes-Bug: #1684058
Change-Id: If6118bf03e832fe3fa5ea4fcb1b436afd2adf80a
(cherry picked from commit 88a3168b3019f7c8232c14b95d4c7c6fb5080f03)

Merge "Decouple Swift ringbuilding logic" into stable/ocata

Merge "Modify pci_passthrough hiera value as string" into stable/ocata

Run token flush cron job hourly by default

Running this job once a day has proven problematic for large
deployments as seen in the bug report. Setting it to run hourly
would be an improvement to the current situation, as the flushes
wouldn't need to process as much data.

Note that this only affects people using UUID as the token provider.

Change-Id: I462e4da2bfdbcba0403ecde5d613386938e2283a
Related-Bug: #1649616
(cherry picked from commit 65e643aca2202f031db94f1ccd3d44e195e5e772)

Use comma_delimited_list for token flush cron time settings

This allows us to better configure these parametes, e.g. we could set
the cron job to run more times per day, and not just one.

Change-Id: I0a151808804809c0742bcfa8ac876e22f5ce5570
Closes-Bug: #1682097
(cherry picked from commit df36f221dd402a5b93585a6851fb1eb43de91967)

Touch /etc/httpd/conf.d/ssl.conf

To ensure that yum update passes without issues we touch ssl.conf.
Proper fix is https://review.openstack.org/#/c/456712/

Depends-On: Ic5a0719f67d3795a9edca25284d1cf6f088073e8
Closes-Bug: #1682448
Resolves: rhbz#1441977
Change-Id: I73e5272c64df4aa5900f544a5d9f0670544ca679

Fix bogus parameters in get_param

Change-Id: I1b5658efaaa26c473ceef184a962ec320f267ffe
Signed-off-by: Bogdan Dobrelya <bdobreli@redhat.com>
(cherry picked from commit e88dfbc4ca115be9522ee0fc0bdb5b60f9ddd7a7)

Merge "Add params to tweak memory limit on mongodb" into stable/ocata

Merge "Update ceph-rgw acccepted roles to fix OSP upgrade" into stable/ocata

Add params to tweak memory limit on mongodb

The puppet-tripleo change was added in
Ie9391aa39532507c5de8dd668a70d5b66e17c891.

Closes-bug: #1656558

Change-Id: Ibe2e4be5b5dc953d8d4b14f680a460409db95585
(cherry picked from commit 75d48838020ad9ff2bbd739212599ec8eb932649)

Update Dell EMC Cinder back end services

Add services for Dell EMC Cinder back ends to the resource registry
and to the Controller role (defaulting to OS::Heat::None).

Closes-Bug: #1681497
Change-Id: I694fd7738abd3601851bdcd38e3633607ce6152c
(cherry picked from commit 5fb637c611c3c8c4daf8e8d2f06d5579b9ef34fd)

yum_update.sh - Use the yum parameter: check-update

The current check tends to produce a false positive causing unnecessary
service restarts.  yum check-update will exit with return code 100 if
updated packages are available.

Change-Id: I8bd89f2b24bafc6c991382b9eb484cfa9a2f8968
(cherry picked from commit 9e4375d2762f4a26e8b0b8375f9265ad6e439ea1)
Closes-Bug: #1680634

Add composable role support for NetApp Cinder back end

Convert NetApp Cinder back end to support composable roles via new
"CinderBackendNetApp" service.

Closes-Bug: #1680568
Change-Id: Ia3a78a48c32997c9d3cbe1629c2043cfc5249e1c
(cherry picked from commit c533a3219e47c5a6155e85e089b9f8acdb4a3dd6)

Replace references to the 192.0.2 network

Following change I1393d65ffb20b1396ff068def237418958ed3289 the ctlplane
network will be 192.168.24 by default and not 192.0.2 anymore.

This change removes old references left to 192.0.2 network from the
overcloud templates.

(cherry picked from commit b5b6681a74e001448a836e7eea5e75fba859b88c)
Closes-Bug: #1682144
Change-Id: I49bd1ac8d594105665010bd898670b17e72fa763

Merge "Use --disable= in subscription-manager to avoid shell expansion." into stable/ocata

Update ceph-rgw acccepted roles to fix OSP upgrade

This patch updates ceph::keystone::auth::roles to remove
"member" and add "Member". The previous entry breaks
OSP N to O upgrades when ceph-rgw is enabled.

This patch fixes: https://bugs.launchpad.net/tripleo/+bug/1678126

Closes-bug: 1678126
(cherry picked from commit 4656323fc30e67f43d3dbd1ada42b608aa6f79e7)

Change-Id: I70e70f96c4aba2c89a9f81973f732d4348b91515

Decouple Swift ringbuilding logic

This reverts commit b323f8a16035549d84cdec4718380bde3d23d6c3 and uses
the new logic in puppet-tripleo, basically doing the same.

Closes-Bug: 1665641
Depends-On: Ifd6fa5b398d98e8998630ea0c9a2ce9867ceba2b
Change-Id: Ib5cb0578be2993af0a0b8675005d838640bdb139
(cherry picked from commit 76c1c0cbba38b2f25290f5ad80e38ddd97ae834b)

Merge "Add missing ec2api::api::keystone_ec2_tokens_url config" into stable/ocata

Add trigger to setup a LDAP backend as keystone domaine

It is using a trigger tripleo::profile::base::keystone::ldap_backend_enable in puppet-tripleo
who will call a define in puppet-keysone ldap_backend.pp.

Given the following environment:

parameter_defaults:
  KeystoneLDAPDomainEnable: true
  KeystoneLDAPBackendConfigs:
    tripleoldap:
      url: ldap://192.0.2.250
      user: cn=openstack,ou=Users,dc=redhat,dc=example,dc=com
      password: Secrete
      suffix: dc=redhat,dc=example,dc=com
      user_tree_dn: ou=Users,dc=redhat,dc=example,dc=com
      user_filter: "(memberOf=cn=OSuser,ou=Groups,dc=redhat,dc=example,dc=com)"
      user_objectclass: person
      user_id_attribute: cn
      user_allow_create: false
      user_allow_update: false
      user_allow_delete: false
  ControllerExtraConfig:
    nova::keystone::authtoken::auth_version: v3
    cinder::keystone::authtoken::auth_version: v3

It would then create a domain called tripleoldap with an LDAP
configuration as defined by the hash. The parameters from the
hash are defined by the keystone::ldap_backend resource in
puppet-keystone.

More backends can be added as more entries to that hash.

This also enables multi-domain support for horizon.

Conflicts:

    puppet/services/keystone.yaml

Closes-Bug: 1677603
Co-Authored-By: Juan Antonio Osorio Robles <jaosorior@redhat.com>
Depends-On: I1593c6a33ed1a0ea51feda9dfb6e1690eaeac5db
Change-Id: I6c815e4596d595bfa2a018127beaf21249a10643
Signed-off-by: Cyril Lopez <cylopez@redhat.com>
(cherry picked from commit 347f5434b3e3793b9fdf2a94f49ab7734c5d923b)

Merge "Generate Pre/Post Puppet Tasks for all roles" into stable/ocata

Merge "Updated from global requirements" into stable/ocata

Merge "Add manual ovs upgrade script for workaround ovs upgrade issue" into stable/ocata

Merge "Add environment for deployed-server with pacemaker" into stable/ocata

Add manual ovs upgrade script for workaround ovs upgrade issue

When we upgrade OVS from 2.5 to 2.6, the postrun package update
restart the services and drop the connectivity
We need to push this manual upgrade script and executed to the
nodes for newton to ocata

The special case is needed for 2.5.0-14 specifically see related
bug for more info (or, older where the postun tries restart).
See related review at [1] for the minor update/manual upgrade.

Related-Bug: 1669714
Depends-On: I3227189691df85f265cf84bd4115d8d4c9f979f3
Co-Authored-By: Sofer Athlan-Guyot <sathlang@redhat.com>
[1] https://review.openstack.org/#/c/450607/

Change-Id: If998704b3c4199bbae8a1d068c31a71763f5c8a2
(cherry picked from commit d2d319ec0ead06b860f8464b001048fb4f723788)

Enforce upgrade_batch_tasks before upgrade_tasks order

If we really want upgrade_batch_tasks before the upgrade_tasks
as described in the README then we should enforce the ordering

Noticed this working on bug 1671504 upgrade tasks were being
executed before batch upgrade tasks.

Closes-Bug: 1678101
Change-Id: Iaa1bce960a37c072b5f8441132705a6bb6eb6ede
(cherry picked from commit 299b9f532377a3a0c16ba9cb4fe92c637fc38eeb)

Ensure upgrade step orchestration accross roles.

Currently we don't enforce step ordering across role, only within
role.  With custom role, we can reach a step5 on one role while the
cluster is still at step3, breaking the contract announced in the
README[1] where each step has a guarantied cluster state.

We have to remove the conditional here as well as jinja has no way to
access this information, but we need jinja to iterate over all enabled
role to create the orchestration.

This deals only with Upgrade tasks, there is another review to deal
with UpgradeBatch tasks.

[1] https://github.com/openstack/tripleo-heat-templates/blob/master/puppet/services/README.rst

Closes-Bug: #1679486

Change-Id: Ibc6b64424cde56419fe82f984d3cc3620f7eb028
(cherry picked from commit d286892c785b8b81a866ea3c6a459d1fc4a347e8)

Merge "Make neutron dhcp agents per network conditional" into stable/ocata

Merge "Fixes port binding controller for OpenDaylight" into stable/ocata