Fix style nits in contrail manifests

There are some style nits in the recently merged contrail puppet manifests.

Change-Id: Ice5935105e0323cb55e0d018190e6471ade7324a

Merge "Re-organizes Contrail services to the correct roles"

Fix test failure caused by change to puppet-octavia

Fixes a test failure caused by Ic38d4f9f9a8e69ffcee6ccc4bba9a9ab0f161d0e
which pulls in a class with a required parameter.

Change-Id: I0740290bff0ea7c4af6e3420775ac3e72871d372

Merge "Fix MySQL service name parameter"

Merge "Add a default rule for dhcpv6 traffic"

Merge "Clean TLS proxy-related setup for neutron-server profile"

Fix MySQL service name parameter

This was wrongly set to service_name while it should have been
server_service_name.

Change-Id: Ia802857cc585bb9b057a02f6a13c16981baa5b76

Merge "Rename controller_admin_vip to controller_admin_host"

Merge "Add AuditD Profile"

Clean TLS proxy-related setup for neutron-server profile

Since the commit this depends on sets it up via hieradata, the
conditionals here are no longer needed.

bp tls-via-certmonger
Depends-On: I9252512dbf9cf2e3eec50c41bf10629d36070bbd

Change-Id: I37275e42763e103b81878b6af07c750a524c5697

nova: deploy basic setup for cells

it's not required in Ocata, let's configure the basic setup for cells.

note: it also cleanup old code that is not valid anymore.

Change-Id: Iac5b2fbe1b03ec7ad4cb8cab2c7694547be6957d

Re-organizes Contrail services to the correct roles

In current setup some Contrail services belong to the wrong roles.
The Contrail control plane can be impacted if the Analytics database has problems.
Furthermore contrail tripleo puppet modules are being refactored to conform to the
new interface of the puppet-contrail modules.

Closes-Bug: 1659560

Change-Id: Id0dd35b95c5fe9d0fcc1e16c4b7d6cc601f10818

Add AuditD Profile

This patch allows the management of the AuditD service and its associated
files (such as `audit.rules`)

This is achieved by means of the `puppet-auditd` puppet module.

Closes-Bug: #1640302
Co-Authored-By: Luke Hinds (lhinds@redhat.com)
Change-Id: Ie31c063b674075e35e1bfa28d1fc07f3f897407b

Add a default rule for dhcpv6 traffic

Via bug https://bugs.launchpad.net/tripleo/+bug/1657108 we need
to zero out the default rules in /etc/sysconfig/ip{6}tables in
the image.
We have done this for ipv4, but when we will do it for ipv6 we
will also need to make sure we add a rule for dhcpv6 traffic
as it is shipped in the iptables rpm. (See
https://bugzilla.redhat.com/show_bug.cgi?id=1169036 for more info)

With this change we correctly get the rule present (aka the first
ACCEPT line. The second line is due to the stock ip6tables rule
I had in my testing):
[root@overcloud-controller-0 ~]# iptables -nvL |grep 546
[root@overcloud-controller-0 ~]# ip6tables -nvL |grep 546
    0     0 ACCEPT     udp      *      *       ::/0 fe80::/64 multiport dports 546 /* 004 accept ipv6 dhcpv6 ipv6 */ state NEW
    0     0 ACCEPT     udp      *      *       ::/0 fe80::/64 udp dpt:546 state NEW

Change-Id: If22080054b2b1fa7acfd101e8c34d2707e8e7864
Partial-Bug: #1657108

Merge "horizon: be more flexible in hiera neutron"

Merge "Use TLS proxy for neutron server's internal TLS"

Merge "Support composable HA for the Ceph rbdmirror daemon"

Merge "Adding congress service"

horizon: be more flexible in hiera neutron

Requiring the neutron mechanism driver from hiera is too rigid, if
Neutron is not deployed in the catalog.
Be more flexible so catalog won't fail if the value is not set in Hiera.

Change-Id: I1475687c4dc53c77e763f42a440355a7c8d014bc
Partial-Bug: #1659662

Support composable HA for the Ceph rbdmirror daemon

Follow up patch for I63da4f48da14534fd76265764569e76300534472
to support composable HA for the Ceph rbdmirror daemon.

Change-Id: I3767bee4b1c7849fa85e71bcc57534b393d2d415

Use TLS proxy for neutron server's internal TLS

This uses the tls_proxy resource added in a previous commit [1] in
front of the neutron server when internal TLS is enabled. Right
now values are passed quite manually, but a subsequent commit will use
t-h-t to pass the appropriate hieradata, and then we'll be able to
clean it up from here.

Note that the proxy is only deployed when internal TLS is enabled.

[1] I82243fd3acfe4f23aab373116b78e1daf9d08467

bp tls-via-certmonger

Change-Id: I6dfbf49f45aef9f47e58b5c0dbedd2b4e239979e

Merge "Ensure basic Ceph configuration is performed by RBD mirror"

Merge "[keepalived] fix netmask for vip"

Adding congress service

Change-Id: Ic74ccd5fa7b3b04ca810416e5160463252f17474
Signed-off-by: Dan Radez <dradez@redhat.com>

Rename controller_admin_vip to controller_admin_host

Bring change of I53151d4f555d5d161a3e53ce5f022e3bf3b2ffbd into
puppet-tripleo.

Change-Id: I1227956a0389497eedc00e4ec817f52be608dc75
Related-Bug: #1643655

Merge "Adding tacker service"

Merge "Composable HA"

Merge "Remove double include of neutron::server class"

Composable HA

This commit implements composable HA for the pacemaker profiles.
- Everytime a pacemaker resource gets included on a node,
  that node will add a node cluster property with the name of the resource
  (e.g. galera-role=true)
- Add a location rule constraint to force running the resource only
  on the nodes that have that property
- We also make sure that any pacemaker resource/property creation has a
  predefined number of tries (20 by default). The reason for this is
  that within composable HA, it might be possible to get "older CIB"
  errors when another node changed the CIB while we were doing an
  operation on it. Simply retrying fixes this.
- Also make sure that we use the newly introduced
  pacemaker::constraint::order class instead of the older
  pacemaker::constraint::base class. The former uses the push_cib()
  function and hence behaves correctly in case multiple nodes try
  to modify the CIB at the same time.

Change-Id: I63da4f48da14534fd76265764569e76300534472
Depends-On: Ib931adaff43dbc16220a90fb509845178d696402
Depends-On: I8d78cc1b14f0e18e034b979a826bf3cdb0878bae
Depends-On: Iba1017c33b1cd4d56a3ee8824d851b38cfdbc2d3

Adding tacker service

Change-Id: I3d6bbc05644e840395f87333ec80e3b844f69903

Remove double include of neutron::server class

This class was being included in the same way in two different branches
of the code which could be joined in the initial branch (or if
statement).

Change-Id: Iee3c1663a2fe929b21a9c089d89b721600af66bd

Ensure basic Ceph configuration is performed by RBD mirror

Previously we missed to perform the basic Ceph client configuration
on a node where only the RBD mirror service was deployed.

Change-Id: Ie6a4284a88714bcee964a38636e12aa88bb95c9d
Co-Authored-By: Michele Baldessari <michele@acksyn.org>
Related-Bug: #1652177

[keepalived] fix netmask for vip

For pacemaker we ensure netmask of virtual IP to 64bit for IPv6 and
32bit for IPv4. We should have feature parity in keepalived setup.[1]
The issue is that puppet picks first IP orf ifconfig output as and
interface IP. In case of IPv6 keepalived would add new IP to
interface with netmask 128 causing interface_for_ip to fail on
second puppet run.

[1] - https://github.com/openstack/puppet-tripleo/blob/master/manifests/pacemaker/haproxy_with_vip.pp

Closes-Bug: #1659309

Change-Id: Icb0c9a8d51a9bfcdc4b2caef9e52fdeb6f634cba

Fix wrong hiera key in ceph_rbdmirror

There is a typo in the bootstrap check which will lead to:
Could not find data item ceph_rbdmirror_bootstrap_short_node_name in any
Hiera data file and no default supplied at
/etc/puppet/modules/tripleo/manifests/profile/pacemaker/ceph/rbdmirror.pp

We need to be using the correct one:
$ hiera ceph_rbdmirror_short_bootstrap_node_name
overcloud-remote-0

Change-Id: Ic343e5f99e48360bdd2d2989781a4b6ca484e8fc

Merge "Clean TLS proxy-related setup for glance api profile"

Merge "Make sure we bind the rabbit inter-cluster to a specific interface"

Merge "pacemaker remote profile support"

Clean TLS proxy-related setup for glance api profile

Since the commit this depends on sets it up via hieradata, the
conditions here are no longer needed.

bp tls-via-certmonger
Change-Id: I66956f0b85e8e3bf1ab9562221d51d51c230b88e
Depends-On: I693213a1f35021b540202240e512d121cc1cd0eb

Merge "Use TLS proxy for Glance API's internal TLS"

Merge "updates to collectd support"

pacemaker remote profile support

This support enables a base profile called pacemaker_remote which will
allow the operator to automatically configure the pacemaker_remote
service on such nodes. This manifest also automatically adds any
pacemaker_remote nodes to the pacemaker cluster.

Depends-On: I0c01ecb7df1a0f9856fdc866b9d06acf0283fa4f
Depends-On: Ic0488f4fc63e35b9aede60fae1e2cab34b1fbdd5
Change-Id: I92953afcc7d536d387381f08164cae8b52f41605

Merge "Add retries to the ::pacemaker::stonith property"

Merge "Implement Nova ec2api profile"

Merge "Remove last bits of Glance Registry"

Merge "Add Ceph RBD mirror Pacemaker profile"

Use TLS proxy for Glance API's internal TLS

This uses the tls_proxy resource added in the previous commit [1] in
front of the Glance API server when internal TLS is enabled. Right
now values are passed quite manually, but a subsequent commit will use
t-h-t to pass the appropriate hieradata, and then we'll be able to clean
it up from here.

Note that the proxy is only deployed when internal TLS is enabled.

[1] I82243fd3acfe4f23aab373116b78e1daf9d08467

bp tls-via-certmonger
Depends-On: Id5dfb38852cf2420f4195a3c1cb98d5c47bbd45e

Change-Id: Id35a846d43ecae8903a0d58306d9803d5ea00bee

Remove last bits of Glance Registry

Glance Registry has been removed in TripleO. So we can clean
puppet-tripleo and remove last bits that used to deploy this service.

Change-Id: Iea8f6340349ab366606205305a3ec9a6e4f11ba6

Merge "Add haproxy firewall rules for galera and redis"

Merge "Add a noop_resource function"

Add a noop_resource function

A function to create noop providers (set as the default) for the named
resource. This works alongside of 'puppet apply --tags' to disable
some custom resource types that still attempt to run commands during
prefetch, etc.

Change-Id: Icabdb30369c8ca15e77d169dc441bee8cfd3631f

Merge "Add support for fence_ironic fencing agent."

Merge "cinder: move glance params into common"

Merge "Fix typo in endpoint.pp"

Merge "Move nova::placement to common nova manifest"

Implement Nova ec2api profile

Change-Id: If4b091e1ca02f43aa9c65392baf8ceea007b7cfb

Merge "Add base profile for Octavia services"

Merge "Remove unused variable in certmonger/mysql manifest"

Make sure we bind the rabbit inter-cluster to a specific interface

Currently the inter-cluster communication port listens to all ip
addresses:
tcp 0 0 0.0.0.0:25672 0.0.0.0:* LISTEN 25631/beam.smp

In order to limit it to listen only to the network assigned to rabbitmq
we need to add the following:
{kernel, [
    ...
    {inet_dist_use_interface, {172,17,0,16}},
    ...
  ]}

In order to do the conversion from an ip address to the Erlang
representation we add a function that takes a string and returns a
converted output. The (~400 randomly generated) IPv6/4 addresses at [1]
have been parsed both via erl's built-in inet:parse_address() function
and our ruby implementation. All converted ip addresses resulted in the
same output [2], [3]. The only difference is that Erlang's parse_address()
considers network ip addresses (e.g. 10.0.0.0) invalid whereas the ruby
function does not. This should not be a problem as the use case here is
to bind a service to a specific ip address on an interface and if
anything we likely prefer the less strict behaviour, given that at least
in theory it is perfectly valid for an interface to have a network
address assigned to it.

[1] http://acksyn.org/files/tripleo/ip-addresses.txt
[2] http://acksyn.org/files/tripleo/ip-addresses-ruby.txt
[3] http://acksyn.org/files/tripleo/ip-addresses-erl.txt
Change-Id: I211c75b9bab25c545bcc7f90f34edebc92bba788
Partial-Bug: #1645898

Fix typo in endpoint.pp

TrivialFix

Change-Id: I8ea2f108d6f98167217b31284c84dbdf23f55f36

cinder: move glance params into common

glance params are also used by cinder-volume. This patch aims to use
cinder::glance in common roles for cinder, so we can split cinder api
and cinder volume.

Depends-On: Id81c029318016068481dd614ed62cc4bfaf0f3e8
Change-Id: I9703efb38c2a3166c7f21c5c1b942f33abb9e76c

Move nova::placement to common nova manifest

nova::placement needs to be declared on more than placement api node,
because credentials are used by different services (at least
nova-compute now).
This patch moves the class to base/nova.pp, at the same step.
So compute nodes will have the credentials and will be able to use
Placement API on multinode environments.

Change-Id: Iada8e9fcccec7dbfe7ac0ec0f9ec6eac1581290e

Merge "Adds etcd"

Merge "Implement NTP profile"

Add base profile for Octavia services

Adds initial base profile and profile for API service.

Partially-implements: blueprint octavia-service-integration
Change-Id: I77783029797be4fb488c6e743c51d228eba9c474

Implement NTP profile

This puppet manifest will install and configure by default
the NTP service. It will also make sure chrony is purged, because it's
present on the EL7 images.

Change-Id: If3cf7d9690001b051465ea25cf8a8c3bc6f7c33a

Add retries to the ::pacemaker::stonith property

Let's set a default number of retries also for the stonith
property creation. Just like we do for most of the composable
HA resource creation.

Change-Id: Ie6e19cc838a3f45100f6c98a350bdf6a37d40590
Depends-On: I20098c5d69cde356fe79f6d8dbdc03ae42ecb3ef

Adds etcd

etcd is used by networking-vpp ML2 driver as the messaging mechanism. This
patch adds etcd service which can be used by other services.

Implements: blueprint fdio-integration-tripleo

Change-Id: Idaa3e3deddf9be3d278e90b569466c2717e2d517
Signed-off-by: Feng Pan <fpan@redhat.com>

Use network entries for nova placement

Having these available from t-h-t, we should be able to use these now.

Change-Id: I7272df25c4fdba152fe15d40444311bc35ace4d9
Depends-On: Id0d34c7c3939ee81126ffd26d0658c0a87805a44

Merge "Remove legacy flag and use composable interface"

Add Ceph RBD mirror Pacemaker profile

This change adds a profile for the Ceph RBD mirror service, which
should be managed by Pacemaker to make sure there is always a single
instance running.

Change-Id: Ic63dc5cffece38942d305f538f71dd58a5d50789
Partial-Bug: #1652177

Remove legacy flag and use composable interface

We dont need this flag anymore as we will disable api
using composable interface instead.

See I67900f7e6816212831aea8ed18f323652857fbd3

Closes-bug: #1656364

Change-Id: Ib6aea02bde6ad7e5223336579f0a99d6cd3ee98f

updates to collectd support

Based on Steve Hardy's comments in
https://review.openstack.org/#/c/413748/, we need to move handling of
the list of plugins out of the heat templates and into puppet.  This
module now uses the service_names variable to look up information on
per-service collectd plugins.

Change-Id: Ie5fba01e1f91ffdc39eb0eb1be9b1464c797b04f

Do not depend on bootstrap_nodeid for any pacemaker profile

When we create a pacemaker resource it must happen from a single node.
If it happens from multiple nodes an immediate error will be returned by
pcs.

For the pacemaker roles we enforce this by leveraging the recently
introduced <SERVICE_NAME_bootstrap_short_node_name> which gives us
the first hostname per-service, regardless of the role.
(introduced via I03e8685f939e8ae1fcd8b16883b559615042505d)

With this approach if a pacemaker service belongs to two different
roles (say role Controller on node A and role galera on node B), it
will only create the resource from one of the two and not both (which
would return an error).

Only setting Partial-Bug for this one, because it addresses the issue
from the pacemaker resource creation POV (which is always affected). But
the issue itself is a race that we're theoretically affected by since
the composable roles work landed. While I have tried to fix the more
general case in previous attempts, I think it is best if we start a
discussion on how to fix it, because each approach has a bunch of
potential drawbacks and is quite invasive on how we do things. A
discussion slot for this has been proposed for the Atlanta PTG.

Change-Id: I662398cab60d523d204b57a5674ca8f5c0f2e68a
Partial-Bug: #1615983

Merge "Set ceph key when using manila ceph backend"

Merge "Call VF configuration from udev rules"

Merge "Add missing Swift base class"

Merge "Include swift::storage::loopbacks class"

Merge "Set memcache_servers in /etc/swift/object-expirer.conf"

Merge "Enable object-expirer on Swift proxy profile"

Merge "Implement Nova Placement API profile"

Merge "Include ::heat at step 3"

nova: disable ::nova::db::sync_cell_v2

This feature is broken for us now and there is work in progress in Nova
to improve nova cell deployment.
Until it's fixed upstream, we need to disable cells deployment for now,
so we can promote our CI.

Change-Id: I379ba9e94a92ed225a03a67fc975b542447a9c8b
Related-Bug: #1649341

Include ::heat at step 3

Since we include ::heat::keystone::domain at step 3, and that class
requires heat.conf since it uses the heat_config resource, we need to
also include ::heat at step 3. The ::heat class will take care of
installing openstack-heat-common that provides heat.conf.

Closes-Bug: #165389
Partially-implements: blueprint split-stack-software-configuration
Change-Id: I5ba34ca96ca84d3f1cf3785ed8bbef6720f7bd42

Set ceph key when using manila ceph backend

Manila ceph driver reads ceph's client configuration
(keyring is the most important) from ceph.conf file
(or any other file set by cephfs_conf_path). ceph.conf
should be updated with keyring location.

If ceph is deployed by tripleo then also manila ceph key
is added into ceph and ceph filesystem is created.

Depends-On: I18436a64fc991b9e697a1d79e369ac110cf8fe20
Change-Id: Iac4a260af6738ed6afd4bcb107221a736d07c1b5
Partial-Bug: #1644784
Closes-Bug: #1646147

Add support for fence_ironic fencing agent.

We now support creating Pacemaker stonith fencing using the fence_ironic
fencing agent.

Partial-Bug: #1649695

Depends-On: I315f9bb78a1296f691dadaeb39fb0a48df1d5f06
Change-Id: I596eef68820f16516feeda147d3689f0da85d7ac

Implement Nova Placement API profile

Allow TripleO to deploy Nova Placement API with a new profile.

Change-Id: I5e25a50f3d7a9b39f4146a61cb528963ee09e90c

Merge "Rspec tests for nova profiles"

Merge "Add Docker Registry profile"

Merge "Move nova cells db sync into nova-api profile"

Merge "Add support for not using admin_token in Ceph/RGW"

Rspec tests for nova profiles

This change fixes the hiera calls in the base nova profile to use the
parameter rather than continue to call hiera. Additionally this change
includes basic test coverage for the various nova profiles.

Change-Id: If393606eeb3c39ed3a2655bd89c5c276a9cf106e

Move nova cells db sync into nova-api profile

Having the db_sync code live in the mysql profile causes
coupling that doesn't work unless your MySQL server has the
latest Nova packages installed. This may not work for some
baremetal setups (where an isolated database exists) or
with containers where the MySQL container definately doesn't
have nova packages installed.

Moving this code into the nova-api role also matches where we
were already db syncing the normal API database so it should be
fine and safe.

Change-Id: Ib625e2ac9c8d6bd1d335c58e291facc4ea5839ae
Co-Authored-By: Alex Schultz <aschultz@redhat.com>

Add support for not using admin_token in Ceph/RGW

This patch add the option for using Keyston V3 authention with
the Ceph/RGW service instead of using the admin_token

Change-Id: I42861afcac221478dcb68be13b6dbc2533a7f158

Use THT to define cell0 creation

As part of the initial implementation, we hard coded the cell0 setup in
puppet. This change switches it to leverage the defined value in the
tripleo-heat-templates

Change-Id: I896a124d91d06ca85b77c9fbe24fd252815a2d28
Depends-On: I08119d781ef60750cc19753bc03190e413159925
Related-Bug: #1649341

Add Docker Registry profile

The profile was moved out of instack-undercloud puppet manifest and
changed to install a v2 Docker registry rather than the old, deprecated
v1 registry.

Change-Id: Iecf7a4c7e86349e6ecaa0a8ee6d37223e3af7862

Add haproxy firewall rules for galera and redis

This change adds haproxy rules for galera and redis.  They are not there
because these haproxy entries do not use the ::tripleo::haproxy::endpoint
function which does this automatically.

Rabbit does not need them because it does not go through haproxy.

Closes-Bug: #1654280
Change-Id: If995d5c36341f3c089cbda9a0827ea28c19c796b

Merge "Ensure panko::db class is initialized"

Merge "Fix puppet warning for empty value"

Ensure panko::db class is initialized

Change-Id: If2f6559a7d76b26fa9b0a3ecfa2e2101aae93e3c

Merge "glance/api: cleanup on dbsync"