Pass 'false' docroot to vhost for tls_proxy

passing undef causes a failure since due to a recent commit [1] the
resource now does proper validation of the parameters.

[1] https://github.com/puppetlabs/puppetlabs-apache/commit/d6952b21ec66d7ce8b69dd0c2f2a0debca54e18f

Change-Id: I6dc1e5820a1f4fe449d254d301738e1073f4b82b
Closes-Bug: #1706026

Merge "Puppet module to deploy Manila Share bundle for HA"

Merge "Release pike-3"

Merge "Deprecates using exec workaround for ODL clustering"

Merge "Fix lint issues to upgrade to puppet-lint 2.3"

Release pike-3

Change-Id: I317efb369dc0a6cd4ec9eefb6678d14caba784f9

Merge "Make calls to nova::compute::rbd from libvirt profile"

Deprecates using exec workaround for ODL clustering

Previously we had used an exec defined in puppet-tripleo to do
clustering with OpenDaylight docker containers.  The clustering issue is
now fixed in puppet-opendaylight by:
https://git.opendaylight.org/gerrit/#/c/60491

So removing the custom function and class workaround.  Also,
'ha_node_index' is deprecated for configuring clustering with
puppet-opendaylight so that is also removed.

Depends-On: I21c1eb2eff6d4cb855eff4a1122f55ad625d84cc

Change-Id: I7693b692c74071945fdcc08292542e9b458a540b
Signed-off-by: Tim Rozet <trozet@redhat.com>

Fix lint issues to upgrade to puppet-lint 2.3

2017-07-20 15:09:38.571317 | manifests/glance/nfs_mount.pp:65:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571430 | manifests/pacemaker/haproxy_with_vip.pp:107:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571473 | manifests/pacemaker/haproxy_with_vip.pp:108:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571511 | manifests/pacemaker/haproxy_with_vip.pp:109:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571551 | manifests/pacemaker/resource_restart_flag.pp:44:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571590 | manifests/profile/base/cinder/volume/nfs.pp:72:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571625 | manifests/profile/base/docker.pp:188:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571661 | manifests/profile/base/docker.pp:210:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571699 | manifests/profile/base/logging/fluentd.pp:79:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571735 | manifests/profile/base/pacemaker.pp:107:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571773 | manifests/profile/base/swift/ringbuilder.pp:97:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571811 | manifests/profile/base/swift/ringbuilder.pp:125:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571850 | manifests/profile/base/swift/ringbuilder.pp:130:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571889 | manifests/profile/pacemaker/ceph/rbdmirror.pp:79:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571927 | manifests/profile/pacemaker/cinder/backup.pp:66:WARNING: arrow should be on the right operand's line
2017-07-20 15:09:38.571965 | manifests/profile/pacemaker/ovn_northd.pp:96:WARNING: arrow should be on the right operand's line

Change-Id: I9393c5e04310cf84695531df9bb16f33e7e15abb

Fix up the control-port for rabbitmq bundles

Mistakenly this was set to 3121 which is the same port that pacemaker
remote uses. Move this to 3122 which was the plan all along.

Also fix a wrong port comment in redis and mysql at the same time.

Change-Id: Iccca6a53a769570443091577c7d86f47119d9cbb

Merge "PS Cinder: Added support for password less login"

Make calls to nova::compute::rbd from libvirt profile

Some of the tasks carried by nova::compute::rbd class apply libvirt.

Change-Id: Ib233689fdcdda391596d01a21f77bd8e1672ae04
Depends-On: I28557deb13b75922932cd3e86c3467a541c988d0

Puppet module to deploy Manila Share bundle for HA

This module is used by tripleo-heat-templates to configure and deploy
Kolla-based manila-share containers managed by pacemaker.

We use short-lived containers that call pcs via puppet to create
the needed pacemaker resources, properties and constraints.

Based on work done in fc5bc07b3be401694681420ba453af29b95a9fcf

Change-Id: I89f65e8a34a3a88029498463942016a9f5285f1c
Partial-Bug: #1668922

PS Cinder: Added support for password less login

Added missing san_private_key parameter used for password less SSH
authentication.

Change-Id: Ia9857064692681172573e9092b53a352cd776cbd
Depends-On: 0743d42ed1ed66e08ab7f4355145b4c06c589801

Merge "Create a Mesh of qdrouterd links for messaging high availability"

Merge "Allow disabling udev usage by LVM"

Merge "Retry ceilometer-upgrade"

Merge "Update resource references for dependencies"

Merge "Add option for innodb_flush_log_at_trx_commit = 2 for Galera only"

Merge "Modified glance stores parameter values"

Create a Mesh of qdrouterd links for messaging high availability

For multi-node deployments of the dispatch router, a mesh of
inter-router links is created. Note that bi-directional links must
not be configured.

Example: For nodes A, B, C
  Node    Inter-Router Link
   A:           []
   B:           [A]
   C:           [A,B]

Change-Id: If43beea7a53c1f8f1dff062341c7ea81751c3122

Retry ceilometer-upgrade

When the ceilometer-upgrade command is run in step5, it talks to gnocchi
and keystone on all the controllers. Since these other nodes might have
httpd restarted mid-upgrade we should retry if we get a failure.

Change-Id: I874cf9c34b41d055a258704dabe9150eab0f7968
Closes-Bug: #1703444

Update resource references for dependencies

The latest version of puppet now reports these as catalog failures so
this change removes the unnecessary references and the references
should be updated.

Closes-Bug: #1702964
Change-Id: Iebc547aa92f9f40e4a633c57d79e6c9cddb5dd28

Merge "Add new profile for the Veritas HyperScale's cinder backend."

Merge "Contrail: Fix controlplane/dataplane network asignments & enable optional dpdk"

Merge "Fix typo in haproxy bundle"

Merge "Add insecure_registry_address to docker profile"

Modified glance stores parameter values

The stores parameter should be set with the new parameters
as they are going to be deprecated in the old method.

Change-Id: If272345e96988778ceccb8f2f624db1c38aea365
Closes-Bug: 1704327

Add new profile for the Veritas HyperScale's cinder backend.

Add new hook in the keystone profile for Veritas HyperScale.
Add new hook in the rabbitmq profile for Veritas HyperScale.
Add new hook in the mysql profile for Veritas HyperScale.

Change-Id: I9168bffa5c73a205d1bb84b831b06081c40af549
Depends-On: I316b22f4f7f9f68fe5c46075dc348a70e437fb1d
Depends-On: Id188af5e2f7bf628a97a70b8f20bef28e42b372d
Signed-off-by: abhishek.kane <abhishek.kane@veritas.com>
Signed-off-by: Dnyaneshwar Pawar <dnyaneshwar.pawar@veritas.com>

Merge "Refactor iscsi initiator-name reset into separate profile"

Merge "Fix mysql client config generation with containerized environment"

Fix typo in haproxy bundle

Change I6f4d3a5abae8f1781cfe6f69ff960aad500061e3 slipped in a typo
and it removed the '$' character from a puppet manifest. Which causes
a deployment to fail with:
INFO: running container haproxy-bundle-docker-0 for the first time
ERROR: /usr/bin/docker-current: Error response from daemon: Invalid bind mount spec "deployed_ssl_cert_path:deployed_ssl_cert_path:ro": Invalid volume destination path: 'deployed_ssl_cert_path' mount path must be absolute.. See '/usr/bin/docker-current run --help'.
ERROR: docker failed to launch container

Change-Id: Ic602fd443d38482bf1f924531561b2174dc38293

Add insecure_registry_address to docker profile

This patch adds a new insecure_registry_address parameter
to the docker profile. This parameter is meant to replace two
deprecated parameters which did the same thing.

Co-Authored-By: Ian Main <imain@redhat.com>
Change-Id: I729fa00175cb36b02b882d729aae5ff06d0e3fbc

Remove dependency on memcached_node_ips_v6

This is set via all_nodes_config in t-h-t, but it's a special case for
this service, so it'll be better if we handle the ipv6 transformation
in puppet instead of relying on the service specific list mangling in
t-h-t (one aspect of which has been identified as a potential performance
problem).

Related-Bug: #1684272
Change-Id: Iccb9089db4b382db3adb9340f18f6d2364ca7f58

Merge "Leverage kolla config_files to copy config into containers"

Merge "Refactor nova migration config into client & target profiles"

Merge "Let pacemaker bind-mount needed cert for haproxy bundle"

Leverage kolla config_files to copy config into containers

This solves a problem with bind-mounts when the containers are holding
files descriptors open.

At the same time this makes the template more robust to puppet changes
since new config files will be available in the containers without
needing to update the templates.

Closes-Bug: #1698323
Change-Id: I857c94ba5f7f064d7c58df621ec5d477654b9166
Depends-On: I78dcec741a941dc21adba33ba33a6dc6ff1d217c

Fix mysql client config generation with containerized environment

When the tripleo::profile::base::database::mysql::client profile is
included by other openstack services, the file /etc/my.cnf.d/tripleo.cnf
is not generated because docker-puppet is configured to disregard the
exec tags.

Make the profile use either File or Exec resource based on how it's
being called, to make it work for both containerized and non-containerized
use cases.

Change-Id: I103baa02373f6713cc300ac039a6f173ff0bbf1c

Merge "Do not fail if PCI device is missing"

Refactor iscsi initiator-name reset into separate profile

This currently assumes nova-compute and iscsid run in the same context which
isn't true for a containerized deployment

Change-Id: I91f1ce7625c351745dbadd84b565d55598ea5b59

Let pacemaker bind-mount needed cert for haproxy bundle

When SSL configuration is enabled, haproxy expects to load a SSL
certificate file at startup.

Update the bundle configuration to always bind-mount the cert
file, to support both SSL and non SSL HAproxy bundle deployments.

Change-Id: I6f4d3a5abae8f1781cfe6f69ff960aad500061e3

Merge "Remove reference to bootstack_nodeid"

Merge "Add Swift dispersion profile"

Add option for innodb_flush_log_at_trx_commit = 2 for Galera only

The innodb_flush_log_at_trx_commit flag changes the timing
of when the log buffer is written to disk for writes.
At its default of 1, transactions are written to disk
and the buffer flushed on a per-transaction basis; but when
set to 2, the flush of the buffer proceeds only once per
second.  This removes the durability guarantee for the
single node.  However the central concept of Galera is
that durability is achieved via the cluster as a whole,
in that transactions are replicated to other nodes before
the commit succeeds (though not necessarily written to disk
unless wsrep_causal_reads is set).  In this model,
data would only be lost of all nodes of the Galera cluster
were killed within one second of each other.  Percona's
blog post at https://www.percona.com/blog/2014/11/17/typical-misconceptions-on-galera-for-mysql/
recommends that the value of 2 should be considered "safe"
for a Galera cluster unless you are in fact worried that
all three nodes will be powered off simultaneously.

The value here is added as an option only, defaulting
to the usual default of "1", flush per transaction.

Change-Id: Id5a30f1daf978e094a74db2d284febbc9ae64bb3

Remove reference to bootstack_nodeid

This has been replaced with bootstrap_nodeid which isn't hard-coded to
the Controller role and thus will work should this service be deployed
on any other role via composable services.

Change-Id: I0a9fced847caf344e5d26b452f1bd40afab8f029

Contrail: Fix controlplane/dataplane network asignments & enable optional dpdk

This patch will move the Contrail roles communication towards
OpenStack APIs from the public/external network to the
internal_api network. I will also add the option to enable
dpdk for Contrail.

Change-Id: Ia835df656031cdf28de20f41ec6ab1c028dced23
Closes-Bug: 1698422

Merge "Update puppet-tripleo libvirt to support docker deployments"

Update puppet-tripleo libvirt to support docker deployments

It is not necessary to mangle libvirt_rbd_secret_key parameter as this
is now given by the templates.

Depends-On: Iff3dbcb0f1b4d2373570e184e636a71553cea708
Change-Id: I6b163ab102f505f0d0ce9eb1ad9d4274e4ff6348

Refactor nova migration config into client & target profiles

The nova migration config has always been applied by the base::nova profile.
It assumed that libvirtd/nova-compute and are all running on the
same host.
Where this config didn't apply (e.g a nova api host) it was disabled by a flag.

This approach is not compatible with containers. Hieradata for all containers
are combined so per-host flags no longer work, and we can no longer assume
libvirtd and nova-compute run in the same context.

This change refactors the profiles out of the base nova profile and into
a client profile and a target profile that can be included where appropriate.

Change-Id: I063a84a8e6da64ae3b09125cfa42e48df69adc12
Implements: blueprint tripleo-cold-migration

Fix openstackdocstheme

See the docs[0] how to use it. Also add the variables for the bug
log feature.

[0]https://docs.openstack.org/openstackdocstheme/latest/

Change-Id: I11b183986a389291d9ab02cb1d0be36c3d73bdb0

Merge "Merge the nova HAproxy TLS options"

Zaqar: support configurable backends

This patch updates the Zaqar profile so that we have
support for configuring alternate versions of the messaging
and management backends.

In Pike instack-undercloud started using the swift/sqlalchemy
backends and the intent here is to update the new containers
undercloud to use a similar default (thus letting us drop Mongodb).

Change-Id: Ie6a56b9163950cee2c0341afa0c0ddce665f3704

Do not fail if PCI device is missing

Fixes a problem where SR-IOV VF count configuration will fail if a
physical function is in use by a guest when 'puppet apply' is executed.
This change substitutes warnings for failures and skips complaints if a
PCI device is unavailable.

Note: this patch has the side-effect of allowing the same configuration
data on hosts that may *not* or *ever* have PCI SR-IOV devices on the
hardware. Time will tell how evil this is in practice.

Closes-Bug: #1701284
Change-Id: I71edc135432ab2193741c37ce977dd11172401e6

Merge the nova HAproxy TLS options

This makes sure that we set the necessary options so HAProxy uses TLS
to contact nova.  It was commented out when nova was moved to not run
over httpd. Since that is no longer the case we can re-enable it.

Change-Id: I026a7dab30b00a4e93966f650f098c570b0b624b
Depends-On: Iac35b7ddcd8a800901548c75ca8d5083ad17e4d3

Merge "Split docker options and insecure registry"

Merge "Change CRL refresh to run every 2 hours"

Allow disabling udev usage by LVM

Disabling udev usage from LVM seems to be the only observed working
way of running containerized cinder-volume with local LVM backend.

I didn't come across reports that not using udev would have negative
impact on the functionality.

Additional info at
https://groups.google.com/forum/#!topic/docker-user/n4Xtvsb4RAw

Change-Id: I1bf395a6228dba66fa6bf9b8bcc9f3ac3d922a49
Related-Bug: #1700140

Split docker options and insecure registry

Use augeas to modify only parameters' dedicated configuration.
Split options from insecure registry. Overlapping those params may
unschedule the docker service restarts for some cases, ending up with
a split brain state for the docker service run-time config vs changed
/etc/sysconfig/options config.

Change-Id: Ic5640061837b022f7175f0db0dc269f9a61e6023
Signed-off-by: Bogdan Dobrelya <bdobreli@redhat.com>

Always start httpd at the same time (TLS proxy)

For the TLS everywhere job, there are some apache vhosts set up that
serve as TLS proxies. These need to be started at the same time as the
rest of the apache vhosts too.

Change-Id: I15e67c7c04142cff01704e2590d3b2a6a949cc06

Always start httpd at the same time

Puppet wipes out whatever is not in it's resource catalog each run for
httpd. This causes httpd to restart if in the next step there are
reasources added that were not there earlier.

This patch, thus changes the instances of httpd to start at the same
time: On step 3 for the bootstrap node, and on step 4 for every other
node.

Closes-Bug: #1699502
Change-Id: I3d29728c1ab7bd5b78100f89e00e5fa082f97b0c
Co-Authored-By: Alex Schultz <aschultz@redhat.com>

Merge "MySQL: configure ::zaqar::db::mysql selectively"

MySQL: configure ::zaqar::db::mysql selectively

Adds the ability to create an empty MySQL database for Zaqar
if zaqar is enabled and settings for the mysql backend are
also available in hiera. This should allow Zaqar's database to
get created when needed, but skipped if MongoDB is used
instead (per overcloud defaults).

Change-Id: I3598e39c0a3cdf80b96e728d9aa8a7e6505e0690

Change CRL refresh to run every 2 hours

The default CA issues CRLs for 4 hours by default. So we need to change
these values to reflect this, else we'll get verification issues due to
the CRL having expired before its refreshed.

However, the nextupdate value for the CRLs might not be aligned with the
cron job. And getting this alignment is not entirely trivial. So I opted
for updating every 2 hours to address this.

Change-Id: I732b400462c5cabd7c6c18c007fc9e8c87b700d3

Force MySQL users to use SSL if internal TLS is enabled

This forces the MySQL users to use SSL when connecting to MySQL.

bp tls-via-certmonger

Depends-On: I24e4c195a31109835739e78a6b53d36f661f9fd0
Change-Id: I98856955132b680a159144204da1d5b400fe9794

Switch from oslosphinx to openstackdocstheme

As part of the docs migration work[0] for Pike we need to switch to use the
openstackdocstheme.

[0]https://review.openstack.org/#/c/472275/

Change-Id: Ic82c4a2ec9fe26c8621ab2c7c9598b1582f73156

Add Swift dispersion profile

The swift-dispersion-populate command needs to be called when Swift and
Keystone are up and running, and therefore we need to ensure this is
running in step 5 or later.

Change-Id: I5b4c08c252b6083dace5a65367920c475de416ce

Merge "Remove manifest/profile/baseui.pp"

Merge "Make collectd to log also to file"

Merge "Deploy ironic-api with WSGI"

Merge "Adds OpenDaylight resources for configuring cluster with docker"

Merge "Ignore failures when loading nf_conntrack_proto_sctp kernel module"

Merge "Enable TLS for MySQL's replication traffic"

Make collectd to log also to file

This change will make possible to set collectd to log to file
(/var/log/collectd.log by default).

Change-Id: I50289ad6657852d37abbf12938128ff9ab9e3bac

Deploy ironic-api with WSGI

Change-Id: I952c86db88dcd611722a3feaea88f618eee17620

Merge "Make enabling haproxy stats interface configurable"

Merge "Allow certmonger mysql resource to use several DNS names"

Enable TLS for MySQL's replication traffic

This enables the options so Galera can use TLS for the replication
traffic.

bp tls-via-certmonger

Depends-On: I9252303b92a2805ba83f86a85770db2551a014d3
Change-Id: I2ee3bf4bbda3f65f5b03440ecbc75f14225a2428

Allow certmonger mysql resource to use several DNS names

This allows for several SubjectAltNames which will subsequently be
used for the replication traffic as well.

bp tls-via-certmonger

Change-Id: Ic68266eaf39d6803f7c3e299095578bbcfd63b88

Merge "Add maxconn parameter to MySQL / HAProxy"

Ignore failures when loading nf_conntrack_proto_sctp kernel module

Ignore failures if nf_conntrack_proto_sctp module failed to load.
Since RHEL 7.4, nf_conntrack_proto_sctp module is compiled into the
kernel instead of as a module as the sctp support.
TripleO will still try to load the module to support RHEL 7.3, but
in the future will remove the module management and rely on the kernel
provided in newer versions of RHEL.

Co-Authored-By: Or Idgar <oidgar@redhat.com>
Co-Authored-By: Alex Schultz <aschultz@redhat.com>
Co-Authored-By: Emilien Macchi <emilien@redhat.com>
Change-Id: I8f1c841a7c0f3b1247aba2b959b6dfbe43d8cd79
Closes-Bug: 1695885

Merge "Require the UI package when creating the virtual host"

Make enabling haproxy stats interface configurable

Some people might or might not want to enable it. So this makes it
configurable. It defaults to true as we were always deploying it before.

Change-Id: I8d2a08cdaf3e5ec3d1a69d4f95e57522508c8610

Add maxconn parameter to MySQL / HAProxy

Allows configurability of maxconn as applies to
the MySQL section of the HAProxy config, both
for clustercheck and single node.

Also adds a new test for the haproxy class
overall to exercise options.

Change-Id: I023682dd5e85cc78d6dd3e5214a53863acc4f303

Merge "Fix the port for Panko API"

Remove manifest/profile/baseui.pp

This file is not needed anymore.

Change-Id: I904443624c18cc5116bc6027c016b9ccdd5e10aa
Closes-bug: 1698105
Depends-On: Ie20ecabea91ca4c2040c5ef3bf6c71b2b53d26ef

Require the UI package when creating the virtual host

Quickstart is failing with this error:

Error: Cannot create /var/www/openstack-tripleo-ui/dist;
       parent directory /var/www/openstack-tripleo-ui does not exist
Error: /Stage[main]/Tripleo::Ui/Apache::Vhost[tripleo-ui]/File[/var/www/openstack-tripleo-ui/dist]
       ensure: change from absent to directory
       failed: Cannot create /var/www/openstack-tripleo-ui/dist; parent directory /var/www/openstack-tripleo-ui does not exist

Puppet cant create the folders tree by itself.

Closes-bug: 1698105
Change-Id: I5cce963a6225552f4b7253cb34edc72b392b9dda

Merge "Fixes an issue when rebooting with an NFS mount."

Merge "Addition of Nuage as mechanism driver for ML2"

Merge "Ensure hiera step value is an integer"

Merge "For http service endpoints always redirect to https"

Merge "Only set the stonith property on the pacemaker_master node"

For http service endpoints always redirect to https

If public TLS is enabled, this sets as default that services should
always redirect to https.

Change-Id: I19b9d07ac8925366ed27fefcaca4fdb9a9ab1b37

Fix redis when hostname has capital letters

The bootstrap_nodeid comparison should be case insensitive.

Change-Id: I1e6672bb0219c1cf56ab21dd911c6f33e2436cc3
Closes-Bug: #1698190

Move gnocchi upgrade and api to step 4

gnocchi upgrade requires storage sacks to be initialized. This means
we need to ensure the storage backends are up before running the
upgrade and starting the api. Lets move the api to step 4 so we can
ensure other dependencies are in place.

Co-Authored-By: Juan Antonio Osorio Robles <jaosorior@redhat.com>
Depends-On: Ibfa9fb39f60c1e4a802d189b32ff4c34476c93d3
Change-Id: If2ae48b21389e76fd638c0b48c148a5d4f227630

Addition of Nuage as mechanism driver for ML2

Adding Nuage as mechanism driver where ML2 is the neutron
core plugin. ML2 base profile includes Nuage when mechanism
driver is Nuage. Added Nuage neutron ML2 profile for tripleo.

Change-Id: Ib56a7ad8f43fc6274eebc83bd2a62e68c030599d

Merge "Do not create VIP for pacemaker OVN OCF resource"

Merge "Remove condition to match hdr(host) in haproxy redirect rule"

Only set the stonith property on the pacemaker_master node

It makes little sense to enforce the stonith property on remote nodes and/or
all cluster nodes. We can just enforce it once on the pacemaker_master
node as it is a cluster-wide property anyway. We can also remove the
tripleo::fencing -> pacemaker::stonith constraint in the pacemaker
remote profile now as the fencing stuff happens on step 5 anyway and
the property is set at step 1.

While this works in general it creates extra CIB changes for nothing and
slows down the deployment.

Change-Id: Ifef08033043a4cc90a6261e962d2fdecdf275650
Closes-Bug: #1696336

Ensure hiera step value is an integer

The step is typically set with the hieradata setting an integer value:

  {"step": 1}

However it would be useful for the value to be a string so that
substitutions are possible, for example:

  {"step": "%{::step}"}

This change ensures the step parameter defaults to an integer by
calling Integer(hiera('step'))

This change was made by manually removing the undef defaults from
fluentd.pp, uchiwa.pp, and sensu.pp then bulk updating with:

    find ./ -type f -print0 |xargs -0 sed -i "s/= hiera('step')/= Integer(hiera('step'))/"

Change-Id: I8a47ca53a7dea8391103abcb8960a97036a6f5b3