Merge "Support for proxying ironic-inspector via Apache"

Merge "Puppet module to deploy cinder-backup bundle for HA"

Merge "Puppet module to deploy cinder-volume bundle for HA"

Merge "Install rsync package for galera"

Merge "Update global requirements"

Merge "Use CRL for HAProxy"

Merge "Add resource to fetch CRL"

Merge "Move tripleo::certmonger::httpd to defines folder and fix suffix"

Use CRL for HAProxy

This sets up the CRL file to be triggered on the certmonger_user
resource. Furtherly, HAProxy uses this CRL file in the member options,
thus effectively enabling revocation for proxied nodes.

So, if a certificate has been revoked by the CA, HAProxy will not proxy
requests to it.

bp tls-via-certmonger

Change-Id: I4f1edc551488aa5bf6033442c4fa1fb0d3f735cd

Add resource to fetch CRL

This will fetch the CRL file from the specified file or URL. Furtherly
it will set up a cron job to refresh the crl file once a week and notify
the needed services.

bp tls-via-certmonger

Change-Id: I38e163e8ebb80ea5f79cfb8df44a71fdcd284e04

Puppet module to deploy cinder-volume bundle for HA

This module is used by tripleo-heat-templates to configure and deploy
Kolla-based cinder-volume containers managed by pacemaker.

We use short-lived containers that call pcs via puppet to create
the needed pacemaker resources, properties and constraints.

Co-Authored-By: Michele Baldesari <michele@acksyn.org>
Partial-Bug: #1668920

Change-Id: I95ad4dd89b47396bea672813d87de35e64c04b2d

Puppet module to deploy cinder-backup bundle for HA

This module is used by tripleo-heat-templates to configure and deploy
Kolla-based cinder-backup containers managed by pacemaker.

We use short-lived containers that call pcs via puppet to create
the needed pacemaker resources, properties and constraints.

Co-Authored-By: Michele Baldesari <michele@acksyn.org>
Partial-Bug: #1668920

Change-Id: If53495ff75d4832cc6be80dc0dc9bd540ab6583b

Merge "Add _spec suffix to class spec tests"

Merge "Add polkit rule to allow kolla nova user access to libvirtd socket on docker host"

Merge "Add novajoin profile"

Move tripleo::certmonger::httpd to defines folder and fix suffix

It's a define, not a class. And it also needs the _spec suffix.

Change-Id: Ie5e0cf81d03379d8b791fd77a5c78d12048ebfef

Add _spec suffix to class spec tests

Some of them didn't have it. So I added it to them for uniformity.

Change-Id: I2ea57d0ecfe151f9a14db9f7722a26f09aa8a506

Update global requirements

Pin reno version to reno!=2.0.0,!=2.3.1,>=1.8.0
Pin sphinx version to sphinx!=1.6.1,>=1.5.1
reno=2.3.1 and sphinx=1.6.1 break releasenotes and doc tests.

Change-Id: I9daab4d970f387ae20ded1bf920ec3b98c7e4597

Add polkit rule to allow kolla nova user access to libvirtd socket on docker host

The polkit rules are currently evaluated in the context of the docker host.
As a result the check fails for the kolla nova compute user, as the uids are not
consistent with the host uids (in fact we probably can't assume a nova user exists
on the docker host).

As a short-term workaround a 'docker_nova' user group is created on the docker host
and the polkit rule is updated to grant this user access to the libvirtd socket.

Longer term solution probably requires running polkitd in a container too.

Change-Id: I91be1f1eacf8eed9017bbfef393ee2d66771e8d6
Related-bug: #1693844

Merge "Add Mistral event engine"

Merge "Drop un-needed 'else' in noop_resource"

Merge "Pacemaker support for OVN DB servers"

Support for proxying ironic-inspector via Apache

Future work in the UI requires Apache to proxy for the
ironic-inspector service the same as it has for other
related services.  This adds support for ironic-inspector
through Apache's mod_proxy

Closes-Bug: 1695202
Depends-On: Id395604f1dfbc4bf4f26adbe05f484a10227fd76
Change-Id: I9dcb0769ff90a2fc9561cb86bb822be8087ffe8e

Add novajoin profile

This is needed in order to deploy novajoin in a containerized undercloud
environment.

Change-Id: Iea461f66b8f4e3b01a0498e566a2c3684144df80

Prepare for release 7.1.0

Change-Id: I6306429e37a50fb30ec5704d8192a29e6da586ec

Merge "Clustercheck, monitor service for galera containers"

Merge "Puppet module to deploy MySQL bundle for HA"

Merge "Puppet module to deploy RabbitMQ bundle for HA"

Merge "Puppet module to deploy Redis bundle for HA"

Puppet module to deploy MySQL bundle for HA

This module is used by tripleo-heat-templates to configure and deploy
Kolla-based mysql containers managed by pacemaker.

We use short-lived containers that call pcs via puppet to create
the needed pacemaker resources, properties and constraints.

Co-Authored-By: Michele Baldesari <michele@acksyn.org>
Partial-Bug: #1692842

Depends-On: I44fbd7f89ab22b72e8d3fc0a0e3fe54a9418a60f
Depends-On: Ie9b7e7d2a3cec4b121915a17c1e809e4ec950e7f

Change-Id: I3b4d8ad2eec70080419882d5d822f78ebd3721ae

Merge "Puppet module to deploy HAProxy bundle for HA"

Drop un-needed 'else' in noop_resource

Change-Id: Id45ac93d482ff23c4c834e2d345a926fc408573f

Merge "Add conditional for setting authlogin_nsswitch_use_ldap selboolean"

Merge "Composable Role for Neutron LBaaS"

Add conditional for setting authlogin_nsswitch_use_ldap selboolean

If selinux is enabled the authlogin_nsswitch_use_ldap Boolean must
be enabled. This setting allows LDAP communications to the confined
LDAP/server port. This change includes a conditional for enabling this
Boolean only when selinux is in use.

Change-Id: If985f2434d28fcd33198929bf61f2a3a82e601fe
Closes-Bug: #1695002

Merge "Restart docker after changing storage driver"

Install rsync package for galera

Since galera is configured to use rsync, we ought to make sure the
package is installed. Particularly when using deployed-server, the
package is not always installed by default depending on what was used to
install the servers.

Change-Id: I92ee78f2dd2c0f7fd4d393b104166407d7c654e2
Closes-Bug: #1693003

do not include remote name in branch spec for release notes

Reno will add the origin prefix if there is no local branch with the
desired name.

Change-Id: I76cc3199edacc4e35af44e01c57720100faee529
Signed-off-by: Doug Hellmann <doug@doughellmann.com>

make release note a list of strings

Change-Id: I806e15f24309261bb4bf108aacc43a5c4d2d33bc
Signed-off-by: Doug Hellmann <doug@doughellmann.com>

Pacemaker support for OVN DB servers

This patch enables OVN DB servers to be started in master/slave
mode in the pacemaker cluster.

A virtual IP resource is created first and then the pacemaker OVN OCF
resource - "ovn:ovndb-servers" is created. The OVN OCF resource is
configured to be colocated with the vip resource. The ovn-controller and
Neutron OVN ML2 mechanism driver which depends on OVN DB servers will
always connect to the vip address on which the master OVN DB servers
listen on.

The OVN OCF resource itself takes care of (re)starting ovn-northd service
on the master node and we don't have to manage it.

When HA is enabled for OVN DB servers, haproxy does not configure the OVN DB
servers in its configuration.

This patch requires OVS 2.7 in the overcloud.

Co-authored:by: Numan Siddique <nusiddiq@redhat.com>
Change-Id: I9dc366002ef5919339961e5deebbf8aa815c73db
Partial-bug: #1670564

Merge "Add missing octavia mysql user creation"

Puppet module to deploy RabbitMQ bundle for HA

This module is used by tripleo-heat-templates to configure and deploy
Kolla-based RabbitMQ containers managed by pacemaker.

We use short-lived containers that call pcs via puppet to create
the needed pacemaker resources, properties and constraints.

Co-Authored-By: Michele Baldessari <michele@acksyn.org>
Co-Authored-By: John Eckersberg <jeckersb@redhat.com>
Partial-Bug: #1692909

Change-Id: I0722e4a4d4716f477e8304cfa1aadd3eef7c2f31
Depends-On: I44fbd7f89ab22b72e8d3fc0a0e3fe54a9418a60f
Depends-On: Ie9b7e7d2a3cec4b121915a17c1e809e4ec950e7f

Restart docker after changing storage driver

This likely explains why CI appears to still be running the
devicemapper driver even though overlay2 is now the default.

Change-Id: Ic2d80bae1fddbdb1c80bae297031521dd78d896a
Closes-Bug: #1692502

Merge "Move ceilometer upgrade step out of base"

Merge "Pass mistral::api service_name from t-h-t"

Puppet module to deploy HAProxy bundle for HA

This module is used by tripleo-heat-templates to configure and deploy
Kolla-based haproxy containers managed by pacemaker.

We use short-lived containers that call pcs via puppet to create
the needed pacemaker resources, properties and constraints.

Co-Authored-By: Michele Baldesari <michele@acksyn.org>
Partial-Bug: #1692908

Depends-On: I44fbd7f89ab22b72e8d3fc0a0e3fe54a9418a60f
Depends-On: Ie9b7e7d2a3cec4b121915a17c1e809e4ec950e7f

Change-Id: Ifcf890a88ef003d3ab754cb677cbf34ba8db9312

Puppet module to deploy Redis bundle for HA

This module is used by tripleo-heat-templates to configure and deploy
Kolla-based Redis containers managed by pacemaker.

We use short-lived containers that call pcs via puppet to create
the needed pacemaker resources, properties and constraints.

Co-Authored-By: Michele Baldesari <michele@acksyn.org>
Partial-Bug: #1692924

Depends-On: I44fbd7f89ab22b72e8d3fc0a0e3fe54a9418a60f
Depends-On: Ie9b7e7d2a3cec4b121915a17c1e809e4ec950e7f

Change-Id: Ia1131611d15670190b7b6654f72e6290bf7f8b9e

Move ceilometer upgrade step out of base

ceilometer-upgrade should only run on controller nodes.
Since its currently in base profile, it gets triggered
on compute as well. So instead split out the upgrade
into its own and include when we deploy notification
and central agents instead.

Change-Id: I2910e8aa5da7fded4cf94b57fb0a14fefd88adbe
Closes-bug: #1693339

Merge "Add support for autofencing to Pacemaker Remote."

Merge "Enable mistral to run under mod_wsgi"

Add missing octavia mysql user creation

This patch makes sure the octavia mysql user is created when the
octavia_api service is enabled.

Change-Id: I270f3f6879737fc29370165e4a8fa8c9c19fffb3

Clustercheck, monitor service for galera containers

In HA overcloud deployments, HAProxy makes use of a helper service
called "clustercheck", to check whether galera nodes are available for
serving traffic.

This change implements a dedicated profile for clustercheck, which was
originally part of the pacemaker mysql profile. The profile generates
the necessary configuration files for clustercheck and let heat
templates manage the associated container's lifecycle.

Co-Authored-By: Michele Baldessari <michele@acksyn.org>
Partial-Bug: #1692969
Change-Id: I1aabe34fa6a9c8c705a4405f275b66502c313cf2

Enable novajoin user on keystone profile

If novajoin is enabled, the keystone profile should create its user.

bp tls-via-certmonger-containers

Change-Id: Ifb43b72cbf0180cf12e6d3584c92ae01ce5294e5

Merge "TLS everywhere: Add resources for mongodb's TLS configuration"

Merge "Bad example in firewall.pp"

Merge "Switch to overlay2 driver for storage"

Bad example in firewall.pp

It was an error in the example to set firewall rule

Tested on newton.

Closes-Bug: 1691990

Change-Id: I091ad0305ac9d9fbb63853e46169fcaa6092456b
Signed-off-by: Cyril Lopez <cylopez@redhat.com>

Switch to overlay2 driver for storage

This patch switches the default to the overlay2 storage driver and see
if it helps performance.

Background:

The loopback driver is not recommended for production. Most
other docker storage backends require extra disks (or partitions)
which we don't have on the root disk. Overlay seems to make the
most since for TripleO upgrades where we intend to update
in-place installations to use docker.

Co-Authored-By: Martin André <m.andre@redhat.com>
Change-Id: I6896a9b3e9dc3e269bf5b0dc753bf8c985482daf

Merge "Update tox configuration"

Merge "Update gitignore not to exclude fixture hieradata"

Merge "Handle duplicate/invalid entries in migration SSH inbound addresses"

Merge "Disable SSH login for nova_migration user when migration over ssh is disabled."

Update gitignore not to exclude fixture hieradata

The existing .gitignore is causing the hieradata we use for tests to be
excluded in git and our release tarballs. Lets adjust the gitignore not
to exclude the hiera files in spec/fixtures

Change-Id: Ic31687d0eb1c2e8acc92796d4c0eba096db8e533
Closes-Bug: #1691559

Update tox configuration

Update the tox configuration to pull in the openstack
upper-constraints.txt when running releasenotes. This will
fix the releasenotes job that is currently failing due to
a new version of sphinx. Additionally this change includes
updates from puppet-modulesync-configs.

Change-Id: Ie587bfde2367dfec796f1b07c01bba15d839a3b1
Related-Bug: #1691511

TLS everywhere: Add resources for mongodb's TLS configuration

bp tls-via-certmonger

Change-Id: I85dda29bcad686372a74bd7f094bfd62777a3032

Composable Role for Neutron LBaaS

Add composable service interface for Neutron LBaaSv2 service.

Change-Id: Ieeb21fafd340fdfbaddbe7633946fe0f05c640c9

Merge "Use verify_on_create when creating pacemaker remote resources"

Merge "vhostuser socket dir shall be created for vhostuserclient mode"

vhostuser socket dir shall be created for vhostuserclient mode

In order to support vhostuser client mode, a vhostuser_socket_dir
needs to be created with qemu:qemu g+w permissions.

Closes-Bug: #1675690

Co-Authored-By: Sanjay Upadhyay <supadhya@redhat.com>
Change-Id: I255f98c40869e7508ed01a03a96294284ecdc6a8
Signed-off-by: Karthik S <ksundara@redhat.com>

Merge "Add support for Cinder "NAS secure" driver params"

Merge "Migrates OpenDaylight to official repo"

Use verify_on_create when creating pacemaker remote resources

We currently create remote resources without waiting for their creation.
This leads to the following potential race (spotted by Marian Mkrcmari):
- On Step1 pacemaker bootstrap node creates the resource but the remote
  resource is not yet created
- Step1 completes and Step2 starts
- On Step2 the remote node sets a property (or calls pcs cib) but the
  remote is not yet set up so 'pcs cluster cib' will fail there with:

    (err): Could not evaluate: backup_cib: Running: /usr/sbin/pcs cluster
    cib /var/lib/pacemaker/cib/puppet-cib-backup20170506-15994-1swnk1i failed
    with code: 1 ->

Note that when verify_on_create is set to true we are not using the cib
dump/push mechanism. That is fine because we create the remotes on
step1 and the dump/push mechanism is only needed starting from step2
when multiple nodes set cluster properties at the same time.

Tested by Marian Mkrcmari successfully as well.

Closes-Bug: #1689028

Change-Id: I764526b3f3c06591d477cc92779d83a19802368e
Depends-On: I1db31dcc92b8695ab0522bba91df729b37f34e0f

Pass mistral::api service_name from t-h-t

In order to have the chicken-egg work, service_name had to be explicitly
passed to ::mistral::api. This switches to using values from t-h-t.

Change-Id: Ib94e51f863ba59a1a1db47d58aed3ba4e5fc9650
Depends-On: Ie98dd5061d92dbc3c15bdd8926b0e3d62cc471f6

Enable mistral to run under mod_wsgi

Mistral should run under mod_wsgi. Enable that.

Change-Id: I99f83c35eaa892c10deb63e199d22a43f06f5dcc
Depends-On: I61199f53d7e32fcb3d068ccaf548a836b5bb58e9

Add Mistral event engine

Mistral has an event engine for triggering cron events. Let's run it.

Change-Id: I386e0b77064ca6938af36238f82bfec010aa5a17
Depends-On: Icaef5e5732f98e9cc39ed1f024d715cee371acac

Migrates OpenDaylight to official repo

ODL repo has been moved from a personal github account into official ODL
repo.

Change-Id: I1248c22acc09962ef788ca19ee87b6bda8ef8450
Signed-off-by: Tim Rozet <trozet@redhat.com>

Remove limits for redis in /etc/security/limits.d

Now that puppet-redis supports ulimit for cluster managed redis (via
https://github.com/arioch/puppet-redis/pull/192), we need to remove the
file snippet as otherwise we will get a duplicate resource error.

We will need to create a THT change that at the very least sets the
redis::managed_by_cluster_manager key to true so that
/etc/security/limits.d/redis.conf gets created.
We also add code to not break backwards compatibility with the old hiera
key.

Change-Id: I4ffccfe3e3ba862d445476c14c8f2cb267fa108d
Partial-Bug: #1688464

Handle duplicate/invalid entries in migration SSH inbound addresses

An error (e.g a typo) in a custom tripleo-heat-templates environment
file could lead to an invalid match block in /etc/ssh/sshd_config.
SSH fails-safe and refuses all logins in this case.

This change validates the migration_ssh_localaddrs parameter is an
array of IP addresses and removes and duplicate entries.

Change-Id: Ibcf144d960fe52f0eab0d5015bd30cf7c1e37e25
Closes-Bug: #1688308

Disable SSH login for nova_migration user when migration over ssh is disabled.

If migration over ssh is enabled, and then later disabled, the ssh config
for the nova_migration user remains intact. This change clobbers the migration
SSH key to disable login when it is not necessary.

Change-Id: Icc6d5d4f4671b3525a731d334ca6fa7c5419dac3
Closes-Bug: #1688321

Merge "Restrict nova migration ssh tunnel"

Add support for Cinder "NAS secure" driver params

Add ability to set Cinder's nas_secure_file_operations and
nas_secure_file_permissions driver parameters. Two sets of identically
named parameters are implemented by Cinder's NFS and NetApp back end
drivers.

The ability to control these parameters is crucial for supporting deployments
that require non-default values.

Partial-Bug: #1688332
Depends-On: Id92cfd4190de8687d4731cf301f2df0bde1ba7d9
Change-Id: I76e2ce10acf7b671be6a2785829ebb3012b79308

Merge "MySQL client: Make CA file configurable"

Merge "snmp: remove useless parameter for binding"

Restrict nova migration ssh tunnel

This change enhances the security of the migration ssh tunnel:
- The ssh authorized_keys file is only writeable by root.
- Creates a new user for migration instead of using root/nova.
- Disables SSH forwarding for this user.
- Optionally restricts the networks that this user can connect from.
- Uses an ssh wrapper command to whitelist the commands that this user can run
  over ssh.

Requires the openstack-nova-migration package from
https://review.rdoproject.org/r/6327

bp tripleo-cold-migration

Change-Id: Idb56acd1e1ecb5a5fd4d942969be428cc9cbe293

Merge "IPv6 VIP addresses need to be /128"

MySQL client: Make CA file configurable

It used to be hardcoded to use the OpenSSL default CA Bundle, however,
this will be changed in t-h-t.

Change-Id: I75bdaf71d88d169e64687a180cb13c1f63418a0f

IPv6 VIP addresses need to be /128

We currently hardcode /64 as our VIP addresses when using IPv6.
The problem with this is that some server code might bind to that
IP as a source address when doing inter-cluster communication
(rabbitmq/galera for example). So when the VIP moves there will
be effectively a network outage between the nodes, which should not
happen.

Likely this was hardcoded to /64 because the RA IPaddr2 needs a nic
parameter when /128 is specified. This is due to:
https://bugzilla.redhat.com/show_bug.cgi?id=1445628

We also make sure we use the ipv6_addrlabel option set to 99 so that
they will never be used as source ip addresses.

Depends-On: I7fcf15a00aedbdcfb21db501ad46c69fb97ec30c
Partial-Bug: #1686357

Change-Id: Ibefde870512ad1e03ff12f7aea91b3734f03f96f
Co-Authored-By: Sofer Athlan-Guyot <sathlang@redhat.com>
Co-Authored-By: Marios Andreou <mandreou@redhat.com>
Co-Authored-By: Damien Ciabrini <dciabrin@redhat.com>

Merge "firewall: generally accept "jump" param and use tripleo:firewall for log rule"

snmp: remove useless parameter for binding

Binding is now done in THT via Hiera directly, so users can change the
option more easily.

Depends-On: Iccf0a8d35cc05d34272c078c97a5dddfb8e7d614
Change-Id: I9d5fd152bb73ea54c4d0d3bab862f11eaa4ebd79
Closes-Bug: #1687628

Merge "Fix wrong notify in swift proxy profile"

Merge "Add linuxbridge agent profile"

Merge "Include base apache module in tls_proxy resource"

Fix wrong notify in swift proxy profile

the TLS proxy was notifying neutron::server instead of swift proxy.

Change-Id: I212978c107a75209d5b7c266e608eb9a9e9cdc76

Include base apache module in tls_proxy resource

Other services include it by using the vhost resource from openstacklib.
If we include a service (such as swift-proxy) that uses the tls_proxy
resource, and we do so in a separate node or in its own container, it
will fail since the base apache module hadn't been included.

Change-Id: I0167e08b0b652618d8a1af792376bcf02c8fcd82

Add support for autofencing to Pacemaker Remote.

We now configure stonith devices for Pacemaker Remote nodes.

Change-Id: I87c60bd56feac6dedc00a3c458b805aa9b71d9ce
Depends-On: Ifb4d19a6b9920b0e340555d6441878c7234eb197
Partial-Bug: #1686115

Add a flag to rabbitmq so that we can deploy with ha-mode: all again

In change Ib62001c03e1e08f58cf0c6e0ba07a8879a584084 we switched the
rabbitmq queues HA mode from ha-all to ha-exactly. While this gives us a
nice performance boost with rabbitmq, it makes rabbit less resilient to
network glitches as we painfully found out via
https://bugzilla.redhat.com/show_bug.cgi?id=1441635.

Will propose another THT change to actually change the default to
-1 so we get this ha-mode:all by default.

Change-Id: I9a90e71094b8d8d58b5be0a45a2979701b0ac21c
Partial-Bug: #1686337
Co-Authored-By: Damien Ciabrini <dciabrin@redhat.com>
Co-Authored-By: John Eckersberg <jeckersb@redhat.com>

Merge "Enable internal network TLS for etcd"

Merge "Update puppet-etcd version"

Merge "Add support for Redfish hardware in Ironic"

Merge "Include zaqar apache module"