Merge "Add ML2 configuration for Bagpipe BGPVPN extension"

Merge "Refactor SSHD config to allow both SSHD options and banner/motd to be set"

Merge "Update UI language list"

Merge "Haproxy: When using TLS everywhere, use verifyhost for the balancermembers"

Refactor SSHD config to allow both SSHD options and banner/motd to be set

In https://review.openstack.org/#/c/444622/7 the sshd_options and banner/motd
are mutually exclusive. This patch, and the next patchset of that review,
resolves the conflict.

Related-Bug: 1668543

Change-Id: I1d09530d69e42c0c36311789166554a889e46556

Ensure /etc/docker/daemon.json

A recent Centos docker packaging change removed the default
/etc/docker/daemon.json file. As such we need to create an empty
json file if none exists before running Augeas to configure
the settings.

Change-Id: Ibfe04b468639002f55da7bb65d2606f730c700b7
Closes-bug: #1684297

Merge "Ensure we configure ssl.conf"

Merge "Create bigswitch agent profile"

Merge "Added release note for "Support for external swift proxy""

Ensure we configure ssl.conf

Every time we call apache module regardless of using SSL we have to
configure mod_ssl from puppet-apache or we'll hit issue during package
update. File /etc/httpd/conf.d/ssl.conf from mod_ssl package contains
Listen 443 while apache::mod::ssl just configures SSL bits but does not
add Listen. If the apache::mod::ssl is not included the ssl.conf file is
removed and recreated during mod_ssl package update. This causes
conflict on port 443.

Change-Id: Ic5a0719f67d3795a9edca25284d1cf6f088073e8
Related-Bug: 1682448
Resolves: rhbz#1441977

Added release note for "Support for external swift proxy"

Change-Id: I7feac65bf814099ab591b473be962e64dec85cbd

Haproxy: When using TLS everywhere, use verifyhost for the balancermembers

This checks that the subjectAltName in the backend server's certificate
matches the server's name that was intended to be used.

Change-Id: If1c61e1becf9cc84c9b18835aef1eaaa8c0d4341

Merge "Allow setting of keepalived router ID"

Merge "HAproxy/heat_api: increase timeout to 10m"

HAproxy/heat_api: increase timeout to 10m

Default timeout is 2min but it doesn't reflect the rpc_response_timeout
value that we set in THT and instack-undercloud, which is 600 (10 min).

In some cases (in low-memory environments), Heat needs more than 2
minutes to reply to the client, when deploying the overcloud.
It makes sense to increase the timeout to the value of rpc_timeout to
give a chance to Heat to reply to the client, otherwise HAproxy will
kill the connection and send 504 to the client.

Depends-On: I9669d40d86d762101734704fcef153e360767690
Change-Id: I32c71fe7930c8798d306046d6933e4b20c22740c
Related-Bug: 1666072

Merge "Support for external swift proxy"

Merge "Move ceilometer wsgi to step 3"

Merge "Move gnocchi wsgi configuration to step 3"

Merge "Dell SC: Add exclude_domain_ip option"

Support for external swift proxy

Users may have an external swift proxy already available (i.e. radosgw
from already existing ceph, or hardware appliance implementing swift
proxy). With this change user may specify an environment file that
registers the specified urls as endpoint for the object-store service.
The internal swift proxy is left as unconfigured.

Change-Id: Ia568c3a5723d8bd8c2c37dbba094fc8a83b9d67e

Merge "Make install of kolla optional on the undercloud"

Merge "etcd: Make HAProxy terminate TLS connections"

Allow setting of keepalived router ID

By default the undercloud and the overcloud share virtual_router_id
definition, leading to errors like "ip address associated with VRID not
present in received packet". This allows setting the range for the IDs.

Change-Id: I0c822777824b469b0f8ef0f31b3708fe47d5b2d7

Dell SC: Add exclude_domain_ip option

This option allows users to exclude some fault domains.
Otherwise all domains are returned.

Change-Id: I6eb2bcc7db003a5eebd3924e3e4eb44e35f60483
Depends-On: I8ac91e6720e52da9cf7480f80bcfb456bf0c2433

Make install of kolla optional on the undercloud

This defaults to 'True' to keep backward compatibility and can be
disabled by setting 'enable_container_images_built' to false in
undercloud.conf.

Depends-On: Ia3379cf66b1d6b180def69c2a5b22b2602baacef
Change-Id: I33e7e9a6a3865fed38f7ed6490455457da67782b

Move gnocchi wsgi configuration to step 3

We configure apache in step3 so we need to configure the gnocchi api in
step 3 as well to prevent unnecessary service restarts during updates.

Change-Id: I30010c9cf0b0c23fde5d00b67472979d519a15be
Related-Bug: #1664418

Move ceilometer wsgi to step 3

Apache is configured in step 3 so if we configure ceilometer in step 4,
the configuration is removed on updates. We need to configure it in step
3 with the other apache services to ensure we don't have issues on
updates.

Change-Id: Icc9d03cd8904c93cb6e17f662f141c6e4c0bf423
Related-Bug: #1664418

Merge "Stop SSHD profile clobbering SSH client config"

Add ML2 configuration for Bagpipe BGPVPN extension

Change-Id: I9e1a56782e258fb6982b70d9a07f35808f2b2de5
Depends-On: Ic975ec1d6b2bf6e6bd28b47ba9dd2a3ae629d149
Signed-off-by: Ricardo Noriega <rnoriega@redhat.com>

Merge "Ensure directory exists for certificates for httpd"

Stop SSHD profile clobbering SSH client config

Including the ::ssh manifest will manage both client and server config.
Managing the client config was not intended and will clobber the OS
default config with the puppet ssh moduled defaults.

Follow up for https://review.openstack.org/443113 where I found the issue after
the changes merged.

Change-Id: I6329f5ebbe8fc3950449e325e56293872d11e1b5
Related-Bug: 1668543

Ensure directory exists for certificates for httpd

We used to rely on a standard directory for the certificates and keys
that are requested by certmonger. However, given the approach we plan to
take for containers that's described in the blueprint, we need to use
service-specific directories for the certs/keys, since we plan to
bind-mount these into the containers, and we don't want to bind mount
any keys/certs from other services.

Thus, we start by creating this directories if they don't exist in the
filesystem and adding the proper selinux labels.

bp tls-via-certmonger-containers

Change-Id: I0b71902358b754fa8bd7fdbb213479503c87aa46

Update UI language list

Change-Id: I848b3cc747f1be06aeda57ba15d4ec557c23ad46
Depends-On: Idf3d82058d87d9c8a3b6d8973d5166043dad2252

Merge "Add registry_mirror to base::docker profile"

Merge "Use docker profile in docker_registry"

etcd: Make HAProxy terminate TLS connections

When TLS is enabled for the internal network, HAProxy needs to handle
etcd's TLS termination. Else it will use plain text.

bp secure-etcd

Change-Id: I20651240edcff0953741d4e8e01fa9a7ab185863

Merge "Move etcd to step 2"

Add registry_mirror to base::docker profile

This patch adds a new registry_mirror option to help
configure /etc/docker/daemon.json so that we can make use
of HTTP docker mirrors within upstream TripleO CI (infra).

Change-Id: I4b966e9b9b174ca5a6f57974185e0149ea12f232

Use docker profile in docker_registry

The docker_registry profile has resources to configure
the docker service and package. These conflict with the
entries in the tripleo::profile::base::docker class which
exists specifically to manage these resources (and has
unit tests).

This patch removes the duplicate resources and updates
the docker_registry profile to simply include the
base docker profile instead.

This instack-undercloud change below needs to land first.
Depends-On: I6154f4c7435b02b92f6f64687e9ee89d6b86186a

Change-Id: I75c740e7efc6662861c28caeb7fa965ba55438cb

Merge "Adding listen_options for Contrail Webui https in haproxy"

Merge "TLS-everywhere: Add resources for libvirt's cert for live migration"

Merge "Stop including ironic::drivers::ssh in the ironic-conductor profile"

Merge "Enable creation of keystone domain when ldap backends are created"

Merge "syntax error extra comma in rabbitmq.pp"

Merge "Add networking-vpp ML2 mechanism driver support"

Merge "Add missing octavia auth include to keystone manifest"

Merge "Make galera-ready exec refreshonly"

syntax error extra comma in rabbitmq.pp

bundle rake syntax

Could not parse for environment *root*: Syntax error at ')'; expected '}'

Change-Id: Idfb254df068b3d7342a6ea3c71dabd1316a61bdf

Stop including ironic::drivers::ssh in the ironic-conductor profile

The SSH drivers are deprecated, pxe_ipmitool + virtualbmc should be used instead.
This is a follow-up to blueprint switch-to-virtualbmc.

Change-Id: I4fd567dffa3992042eebcf495334b8130e1bdc9f

TLS-everywhere: Add resources for libvirt's cert for live migration

This merely requests the certificates that will be used for libvirt's
live migration if TLS-everywhere is enabled.

bp tls-via-certmonger

Change-Id: If18206d89460f6660a81aabc4ff8b97f1f99bba7

Merge "Don't try and create the my.cnf.d dir everytime"

Enable creation of keystone domain when ldap backends are created

This sets the flag create_domain_entry for the ldap_backend resource,
which will create the domain for the ldap backend (this was previously
not the case since only the configuration was created). Furtherly, this
flag will also refresh the keystone server, so the changes come into
effect.

Note that this is only done in step 3, so the domains are created there
and the refresh happens in that step. Also, this is only done for the
bootstrap node, since when the other nodes start, they will already have
the domains available in the keystone database and there won't be a need
to restart.

Related-Bug: #1677603
Depends-On: Ib6c633b6a975e4b760c10a2aef3c252885b05e28
Change-Id: Id879cf5c5ae39d37bf58b73c78733001d2b03d9c

Merge "Composable services support for Cinder Pure Storage FlashArray"

Merge "Adjust UI manifest (language list)"

Merge "Migrate Swift ring handling from tripleo-heat-templates to puppet-tripleo"

Merge "Adding OVNDBs vip to keepalive"

Merge "Make the cluster-check property configurable"

Merge "Add httpchk for http services"

Merge "Include ironic::drivers::interfaces in the ironic-conductor profile"

Merge "Adding support for Bagpipe Agent as BGPVPN driver"

Merge "Add a trigger to call ldap_backend define"

Make galera-ready exec refreshonly

Previously we were always run the galera-ready exec every step. This
change switches it to be refreshonly so we only wait when the service is
setup or restarted.

Change-Id: I5ff9d49c2590751913b96777bcd72c8a15627a01
Closes-Bug: #1680586

Add missing octavia auth include to keystone manifest

This patch adds the appropriate include to make sure that appropriate
keystone user, services, etc. are created when octavia is selected.

Closes-bug: #1680588

Change-Id: I0b6d657a0300538292223923d8808c23f936c193

Don't try and create the my.cnf.d dir everytime

The creation of /etc/my.cnf.d is not idempotent and is run anytime the
mysql client profile is included. This change adds an unless parameter
to ensure it is only run if not used.

Change-Id: I4a30eaccf72f5687dc22ba93c19136e55d36dcab
Closes-Bug: #1680570

Adjust UI manifest (language list)

tripleo-ui is removing en-GB from the locale list, adjust the manifest
to reflect this change.

Change-Id: If3f6603d703a1af07a7eaab56e47e8b0b90947af
Related-Bug: #1680397

Merge "Clean up TLS-related bits from swift-proxy"

Merge "Fix missing groups for fluentd user"

Merge "Add TLS in the internal network for Swift Proxy"

Merge "Introduce profile to configure l2 gateway Neutron agent."

Add a trigger to call ldap_backend define

Ldap_backend is a define so we need a resource to talk it. If
ldap_backend_enable set by tripleo-heat-templates, we call the
ldap_backend as a resource.

Given an environment such as the following:

parameter_defaults:
  KeystoneLdapDomainEnable: true
  KeystoneLDAPBackendConfigs:
    tripleoldap:
      url: ldap://192.0.2.250
      user: cn=openstack,ou=Users,dc=redhat,dc=example,dc=com
      password: Secrete
      suffix: dc=redhat,dc=example,dc=com
      user_tree_dn: ou=Users,dc=redhat,dc=example,dc=com
      user_filter: "(memberOf=cn=OSuser,ou=Groups,dc=redhat,dc=example,dc=com)"
      user_objectclass: person
      user_id_attribute: cn
      user_allow_create: false
      user_allow_update: false
      user_allow_delete: false
  ControllerExtraConfig:
    nova::keystone::authtoken::auth_version: v3
    cinder::keystone::authtoken::auth_version: v3

It would then create a domain called tripleoldap with an LDAP
configuration as defined by the hash. The parameters from the
hash are defined by the keystone::ldap_backend resource in
puppet-keystone.

More backends can be added as more entries to that hash.

Partial-Bug: 1677603
Co-Authored-By: Juan Antonio Osorio Robles <jaosorior@redhat.com>
Co-Authored-By: Guillaume Coré <gucore@redhat.com>
Signed-off-by: Cyril Lopez <cylopez@redhat.com>
Change-Id: I1593c6a33ed1a0ea51feda9dfb6e1690eaeac5db

Migrate Swift ring handling from tripleo-heat-templates to puppet-tripleo

This allows decoupling the Swift ringbuilding logic from the Controller
and ObjectStorage roles. A follow up patch will modify
tripleo-heat-templates and use this modified class.

Actually this downloads the Swift rings even if ring building is
disabled or if there is no need to rebalance. This is required, because
operators can disable ring building, but use the same mechanism to
distribute pre-built rings to the nodes.

If ring building is disabled, these won't be uploaded at the end back to
the undercloud.

Related-Bug: 1665641
Change-Id: Ifd6fa5b398d98e8998630ea0c9a2ce9867ceba2b

Merge "Certmonger/rabbitmq: Remove parameter doc for unexisting parameter"

Adding support for Bagpipe Agent as BGPVPN driver

Partially-Implements: blueprint bgpvpn-service-integration

Change-Id: I54ef40f9d958e87d187a6d124995aa6951c0651a
Signed-off-by: Ricardo Noriega <rnoriega@redhat.com>

Merge "SSHD Service extensions"

Make the cluster-check property configurable

This change will make the global cluster-check property configurable
and will pick a lower default (60s) in case a pacemaker remote node
is deployed.

The cluster-recheck-interval is set to default to 15minutes by
pacemaker. This value is too high when a pacemaker remote service
is deployed. With this default value a reboot of a pacemaker remote
node will be reported as offline by pacemaker for up to 15minutes.

With this change we do the following:
1) Do nothing in case pacemaker remote is not deployed
2) When pacemaker remote is deployed and the operator has not
   specified otherwise, we set the recheck interval to 60s.
3) When the operator specifies the recheck interval we set that.

Change-Id: I900952b33317b7998a1f26a65f4d70c1726df19c
Closes-Bug: #1679753

Certmonger/rabbitmq: Remove parameter doc for unexisting parameter

This parameter was used at some point in the implementation but ended up
not being needed in favor of getting this information from the puppet
manifest. So it's removed as the parameter doesn't actually exist.

Change-Id: I09f4091ee7a2221b26249959ea2927090d36ba0f

Move etcd to step 2

Etcd should be configured and started in step 2 with other core
services when required.

Change-Id: If95a74d211a194f2bfbe9653a6e19e05b095a210
Signed-off-by: Feng Pan <fpan@redhat.com>

Merge "Configure migration SSH tunnel"

Merge "Refactor enabled languages from an array to a hash"

Merge "Use correct manage_firewall hieradata"

Merge "Fixes missing neutron base in sriov"

Merge "Remove cluster_enabled setting for etcd"

Add httpchk for http services

The httpchk health check option should help reduce the situtations
where haproxy thinks the service is up but the service is only
listening and not actively serving http requests.

Change-Id: I13cc5dcf2eea53731e756d078586ab9a97340912
Closes-Bug: #1629052

SSHD Service extensions

This change adds an `include` statement to bring in the extra
functionality available from the existing puppet-ssh module in
already available in RDO.

By using puppet-ssh it provides a framework to allow the passing in of
server options using just hiera values under ssh::server_options.
For example, sshd_config banner can now be passed a server option, as
well as all the new parameters outlined in the launchpad issue that
the patch references for Closing. For this reason, the former augeas
setting for `Banner /etc/issue` is now managed by the main puppet-ssh
module instead.

The change also allows population of MOTD text to `/etc/motd` as
well as `issue.net`.

$bannertext is refactored in accordance with patch [1]

[1] https://review.openstack.org/#/c/442406/

Change-Id: Id329538fb7b623526f1d91d8a513cf3440c86a7c
Closes-Bug: 1668543

Clean up TLS-related bits from swift-proxy

bp tls-via-certmonger
Change-Id: I8a66d3a067f934ea30b668308237cbca1d58fbb8
Depends-On: I3cb9d53d75f982068f1025729c1793efaee87380

Add TLS in the internal network for Swift Proxy

This adds the necessary bits for a TLS Proxy to be placed in front of
swift proxy when TLS-everywhere is enabled.

This will be furtherly cleaned up once the t-h-t bits are added.

bp tls-via-certmonger

Change-Id: I6e7193cc5b4bb7e56cc89e0a293c91b0d391c68e

Merge "Deploy WSGI apps at the same step (3)"

Merge "Add tunnel timeout for ui proxy container"

Composable services support for Cinder Pure Storage FlashArray

Added the heat templates for Cinder Pure Storage FlashArray
backend to use composable services

Change-Id: I6f46f45a3af394de85672261c7d72ddc492a07b2

Include ironic::drivers::interfaces in the ironic-conductor profile

This enables configuring new-style drivers (aha hardware types).

Part of blueprint ironic-driver-composition

Change-Id: I72eb8b06cca14073d1d1c82462fb702630e02de3

Restrict mongodb memory usage

Currently, mongodb has no limits on how much memory
it can consume. This enforces restriction so mongodb
service limits through systemd.

The puppet-systemd module has support for limits. The
MemoryLimit support is added in the follwoing pull
request https://github.com/camptocamp/puppet-systemd/pull/23

Closes-bug: #1656558

Change-Id: Ie9391aa39532507c5de8dd668a70d5b66e17c891

Fixes missing neutron base in sriov

This causes issues in deployments that is not using ML2
ComputeNeutronCorePlugin or OVS agent on the compute nodes.

Closes-Bug: 1679202

Change-Id: I9cdfd115add8c0d2d3ae6802e7bde007c1677c67
Signed-off-by: Tim Rozet <trozet@redhat.com>

Use correct manage_firewall hieradata

The manage_firewall hieradata was moved to
tripleo::firewall::manage_firewall but some of the references to it
were not updated, which makes it impossible to completely disable
the firewall rules.

Change-Id: I5f40f3b8b07bd312cce862aa319b8a1ef331ee49
Closes-Bug: 1679189

Configure migration SSH tunnel

This patch configures SSH tunneling for nova cold-migration and reuses the
tunnel for libvirt live-migration unless TLS has been enabled.

Change-Id: I367757cbe8757d11943af7e41af620f9ce919a06
Depends-On: Iac1763761c652bed637cb7cf85bc12347b5fe7ec

Deploy WSGI apps at the same step (3)

So we avoid useless apache restart and save time during the deployment.

Related-Bug: #1664418
Change-Id: Ie00b717a6741e215e59d219710154f0d2ce6b39e

Move horizon to step 3

We configure apache in step 3 so horizon should be configured at the
same time or else updates will cause horizon to be unvailable during the
update process.

Change-Id: I4032f7c24edc0ff9ed637e213870cdd3beb9a54e
Closes-Bug: #1678338

Merge "Decouple ceilometer user create from API"

Add tunnel timeout for ui proxy container

Add an explicit tunnel timeout configuration option to increase the
tunnel timeout for persistent socket connections from two minutes (2m)
to one hour (3600s).  A configuration was already present to apply a
tunnel timeout to the zaqar_ws endpoint, but that only applies to
connections made directly to the zaqar_ws endpoint directly.  Since UI
now uses mod_proxy to proxy WebSocket connections for Zaqar, the timeout
is now applied for the same reasons to the ui haproxy server.

Change-Id: If749dc9148ccf8f2fa12b56b6ed6740f42e65aeb
Closes-Bug: 1672826

Merge "Add missing include of ::ec2api::keystone::authtoken"

Merge "Fix deprecated eqlx parameters"