<div dir="ltr">After some more discussion and several attempts at different ways to solve this problem, here's the message I've just added to <a href="https://review.openstack.org/#/c/97657/">https://review.openstack.org/#/c/97657/</a><div>

<br></div><div><br></div><div><div>I spoke to xu haiwei about this change a few days ago and agreed to have a stab at switching from using environment variables to command-line flags, in line with the comments above. The best way i could see to do this was to store the password file location in $TE_DATAFILE. I wanted to check if this was a sensible idea so I jumped into #tripleo</div>

<div><br></div><div>This led to some discussion in-channel where we (bnemec, lifeless, myself) tried to step back, look at what problem we're trying to solve, and look for a good way to solve it.</div><div><br></div>
<div>
We think, if our understanding is correct, that we're trying to do a few different things here:</div><div><br></div><div>1) The current logic (look in $CWD for passwords first, then look in $TRIPLEO_ROOT) is confusing, especially for someone reading the code - we think it's not particularly clear what's happening or why</div>

<div>2) We (who were discussing it at the time) think that we (the broader TripleO team) want to make sure that users can drive multiple stacks - eg, running multiple overclouds out of one undercloud - and have different credentials for each. We (who were discussing it at the time) don't actually know of anyone who does this, so we're only speculating that this something that some people *might* find useful - if we could talk to someone who needs this functionality, it would help us make sure we're doing something useful for them</div>

<div>3) Looking to the future, these passwords should eventually be stored in Barbican or something similar. In the shorter term, it would probably be a good idea to move the passwords into $TE_DATAFILE. However, the work required to do that today is non-trivial as we'd need to find all the places the passwords are currently used and change the way the password is looked up.</div>

<div><br></div><div>Looking at the history of this change, it seems that it was originally trying to solve (1) by making the logic for finding passwords simpler and cleaner. However, that broke (2); in trying to make (2) work again, this change got made more complex, even though we haven't found anyone who actually relies on this functionality working. We seem to have a solution (put the filenames into $TE_DATAFILE) which achieves (1) and preserves the ability to do (2) - but any work we do on it will have to be tweaked again (probably soon) when we work on (3)</div>

<div><br></div><div>So, assuming I've understood the motivations of this change correctly, here's what I plan to do:</div><div><br></div><div>1) Wait for people to tell me I've misunderstood the intent of this change (this is a non-blocking step, other steps will proceed in parallel with waiting)</div>

<div>2) Raise <a href="https://bugs.launchpad.net/tripleo/+bug/1358600">https://bugs.launchpad.net/tripleo/+bug/1358600</a> about getting a solution for (3) (which will enable (2) and help with (1) )</div><div>3) Raise a new CR (I12d013196b0c533a0550167b9b8209e590e3bd49) which attempts to add some docs into the scripts to clarify the existing logic</div>

<div><br></div><div>I'll copy this message onto the mailing list as well - if we've misunderstood what's needed here, or these plans don't meet your needs, please follow up there with some more details.</div>

</div></div><div class="gmail_extra"><br><br><div class="gmail_quote">On Thu, Jul 3, 2014 at 9:10 AM, James Polley <span dir="ltr"><<a href="mailto:jp@jamezpolley.com" target="_blank">jp@jamezpolley.com</a>></span> wrote:<br>

<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><br><div class="gmail_extra"><br><br><div class="gmail_quote"><div><div class="h5">On Thu, Jul 3, 2014 at 5:33 AM, Sullivan, Jon Paul <span dir="ltr"><<a href="mailto:JonPaul.Sullivan@hp.com" target="_blank">JonPaul.Sullivan@hp.com</a>></span> wrote:<br>


<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div><div>> -----Original Message-----<br>
> From: Giulio Fidente [mailto:<a href="mailto:gfidente@redhat.com" target="_blank">gfidente@redhat.com</a>]<br>
> Sent: 01 July 2014 13:08<br>
> Subject: Re: [openstack-dev] [TripleO] Time to break backwards<br>
> compatibility for *cloud-password file location?<br>
><br>
> On 06/25/2014 11:25 AM, <a href="mailto:marios@redhat.com" target="_blank">marios@redhat.com</a> wrote:<br>
> > On 25/06/14 10:52, James Polley wrote:<br>
> >> Until <a href="https://review.openstack.org/#/c/83250/" target="_blank">https://review.openstack.org/#/c/83250/</a>, the setup-*-password<br>
> >> scripts used to drop password files into $CWD, which meant that if<br>
> >> you ran the script from a different location next time, your old<br>
> >> passwords wouldn't be found.<br>
> >><br>
> >> <a href="https://review.openstack.org/#/c/83250/" target="_blank">https://review.openstack.org/#/c/83250/</a> changed this so that the<br>
> >> default behaviour is to put the password files in $TRIPLEO_ROOT; but<br>
> >> for backwards compatibility we left the script checking to see if<br>
> >> there's a file in the current directory, and using that file in<br>
> >> preference to $TRIPLEO_ROOT if it exists.<br>
> >><br>
> >> However, this behaviour is still confusing to people. I'm not<br>
> >> entirely clear on why it's confusing (it makes perfect sense to<br>
> >> me...) but I imagine it's because we still have the problem that the<br>
> >> code works fine if run from one directory, but run from a different<br>
> directory it can't find passwords.<br>
> >><br>
> >> There are two open patches which would break backwards compatibility<br>
> >> and only ever use the files in $TRIPLEO_ROOT:<br>
> >><br>
> >> <a href="https://review.openstack.org/#/c/93981/" target="_blank">https://review.openstack.org/#/c/93981/</a><br>
> >> <a href="https://review.openstack.org/#/c/97657/" target="_blank">https://review.openstack.org/#/c/97657/</a><br>
> >><br>
> >> The latter review is under more active development, and has<br>
> >> suggestions that the directory containing the password files should<br>
> >> be parameterised, defaulting to $TRIPLEO_ROOT. This would still break<br>
> >> for anyone who relies on the password files being in the directory<br>
> >> they run the script from, but at least there would be a fairly easy<br>
> fix for them.<br>
> >><br>
> ><br>
> > How about we:<br>
> ><br>
> > * parameterize as suggested by Fabio in the review @<br>
> > <a href="https://review.openstack.org/#/c/97657/" target="_blank">https://review.openstack.org/#/c/97657/</a><br>
<br>
</div></div>+1<br>
<div><br>
> ><br>
> > * move setting of this param to more visible location (setup, like<br>
> > devtest_variables or testenv). We can then give this better visibility<br>
> > in the dev/test autodocs with a warning about the 'old' behaviour<br>
<br>
</div>+1<br>
<div><br>
> ><br>
> > * add a deprecation warning to the code that reads from<br>
> > $CWD/tripleo-overcloud-passwords to say that this will now need to be<br>
> > set as a parameter in ... wherever. How long is a good period for<br>
> this?<br>
><br>
> +1<br>
<br>
</div>+1<br>
<br>
Would it make sense to copy the passwords across such that the users behaviour is not changed were they to delete their old passwords file.  The deprecation warning would read that they can set <VAR> to point to the passwords file they are currently using, or delete <passwords file> to pick up the new default location of <VAR> (which has defaulted to TRIPLEO_ROOT)<br>


</blockquote><div><br></div></div></div><div>This sounds like something I was trying in the first 10 revisions of <a href="https://review.openstack.org/#/c/83250" target="_blank">https://review.openstack.org/#/c/83250</a>. I ended up ditching it because it seemed like the logic was getting too complex.<br>


<br>Eg, if someone has multiple sets of password files, this is fine when we see the first set  - we just copy it to $TRIPLEO_ROOT and print the deprecation warning.<br><br></div><div>But later on if we see a second file - do we clobber the one in $TRIPLEO_ROOT? Do we skip the copy and just print the deprecation warning, maybe with an addendum to point out that we've seen two different files? Do we diff the one in $CWD and the one in $TRIPLEO_ROOT to check if they're the same?<br>


<br></div><div>At the time I was working on 83250 I decided it was simplest to not make any attempt to clean up, but maybe it's time to revisit that decision.<br></div><div><div class="h5"><div><br>><br>
> actually, I have probably being the first suggesting that we should<br>
> parametrize the path to the password files so I want to add my<br>
> motivations here<br>
><br>
> the big win that I see here is that people may want to customize only<br>
> some of the passwords, for example, the undercloud admin<br>
><br>
> the script creating the password files is *already* capable of pushing<br>
> in the file only new passwords, without regenerating passwords which<br>
> could have been manually set in there already<br>
><br>
> this basically implements the 'feature' I mentioned except people just<br>
> doesn't know it!<br>
><br>
> so I'd like we to expose this as a feature, from the early stages as<br>
> Marios suggests too, maybe from devtest_variables<br>
> --<br>
> Giulio Fidente<br>
> GPG KEY: 08D733BA<br>
><br>
> _______________________________________________<br>
> OpenStack-dev mailing list<br>
> <a href="mailto:OpenStack-dev@lists.openstack.org" target="_blank">OpenStack-dev@lists.openstack.org</a><br>
> <a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
<br>
</div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Thanks,<br>
Jon-Paul Sullivan ☺ Cloud Services - @hpcloud<br>
<br>
Postal Address: Hewlett-Packard Galway Limited, Ballybrit Business Park, Galway.<br>
Registered Office: Hewlett-Packard Galway Limited, 63-74 Sir John Rogerson's Quay, Dublin 2.<br>
Registered Number: 361933<br>
<br>
The contents of this message and any attachments to it are confidential and may be legally privileged. If you have received this message in error you should delete it from your system immediately and advise the sender.<br>



<br>
To any recipient of this message within HP, unless otherwise stated, you should consider this message and attachments as "HP CONFIDENTIAL".<br>
<div><div>_______________________________________________<br>
OpenStack-dev mailing list<br>
<a href="mailto:OpenStack-dev@lists.openstack.org" target="_blank">OpenStack-dev@lists.openstack.org</a><br>
<a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
</div></div></blockquote></div></div></div><br></div></div>
</blockquote></div><br></div>