Also refresh ca-global when Debian certs change

Fix broken symlinks in /etc/ssl/ca-global (RT#6182)

Fix some issues with the previous change.

Redirect https URLs for www-other sites to debian.org too.

Suggested-in: <CAKiQC487c4kZiTvxUYtM+nmWS9Bh3b7s3tY6jb2=eA69k0-9Ww@mail.gmail.com>
Suggested-by: Adam Cadman <adam.cadman@gmail.com>

remove gluck and rietz from puppet config

remove alioth's expiring git et al. cert

renumber mirror-isc3

99builddsourceslist: get rid of backports.debian.org

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

99builddsourceslist: drop support for -edu

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

puppetmaster: don't look for puppet-dashboard.d.o cert

Signed-off-by: Julien Cristau <jcristau@debian.org>

Remove puppet-dashboard.d.o cert

It seems unused, and expires soon.

Signed-off-by: Julien Cristau <jcristau@debian.org>

Retire portman and pittar (RT#6121, RT#6135)

Re-enable surbl checks, and set {keep,add}_environment to empty values

Use letsencrypt cert for packages.d.o

Signed-off-by: Julien Cristau <jcristau@debian.org>

Temporarily disable TLSA for packages.d.o

Signed-off-by: Julien Cristau <jcristau@debian.org>

The debian-backports repository is obsolete: stop redirecting backports.org /debian, /backports.org and /debian-backports to the old archive location

The debian-backports repository is obsolete.  Remove from autofs and rsync/syncproxy config

Switch piuparts.d.o SSL cert to letsencrypt

Signed-off-by: Julien Cristau <jcristau@debian.org>

remove TLSA record for piuparts.d.o

Signed-off-by: Julien Cristau <jcristau@debian.org>

Do not run both puppet clientbucket cleanup job concurrently.  sequentially should work better

sso-rp for quantz

Disable surbl/perl check for now

stop using broken dns forwarders

include archive_master role too

push sibelius archive rsync via puppet, make it ssl

retire schein

Clean out puppet clientbucket

Delete more munin-async files sooner

Add boott

we want backups of busoni and senfter

ftcollins and spohr are history

We want backups of wieck

rmdir the dir

And clean out /etc/ssl/debian/keys

install ssl hostkey into /etc/ssl/private instead of /etc/ssl/debian/keys

saens is history

security-master ssl with key, and ssl for rsync

add luca's home and work IPv4 since they are fixed (effectively)

keep volumes for full backups only 3 months instead of 4

also remove chain for bugs-master ssl cert

The cert is no longer a gandi-issued, so we should use the letsencrypt
chain.

Signed-off-by: Julien Cristau <jcristau@debian.org>

replace bugs-master.d.o SSL certificate

Signed-off-by: Julien Cristau <jcristau@debian.org>

munin-node: partially revert 199cc183

df_abs does not support exclusion based on regex, we still need the
wrapper for it.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

munin-node: also filter /dev /run/* /sys/*

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

munin-node: filter piuparts/schroot mounts for df*

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

munin-node: remove df-wrap

Remove df-wrap as it is not compatible with the jessie scripts. Replace
df, df_abs and df_inode by symlinks to the original scripts.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

unbound: squeeze cleanup

Signed-off-by: Julien Cristau <jcristau@debian.org>

motd: squeeze cleanup

Signed-off-by: Julien Cristau <jcristau@debian.org>

debian-org: squeeze cleanup

Signed-off-by: Julien Cristau <jcristau@debian.org>

dacs: squeeze cleanup

Signed-off-by: Julien Cristau <jcristau@debian.org>

ssh: squeeze cleanup

Signed-off-by: Julien Cristau <jcristau@debian.org>

schroot: squeeze cleanup

Signed-off-by: Julien Cristau <jcristau@debian.org>

munin: squeeze cleanup

Signed-off-by: Julien Cristau <jcristau@debian.org>

monit: squeeze cleanup

Signed-off-by: Julien Cristau <jcristau@debian.org>

ferm: squeeze cleanup

Signed-off-by: Julien Cristau <jcristau@debian.org>

buildd: squeeze cleanup

Signed-off-by: Julien Cristau <jcristau@debian.org>

bacula: squeeze cleanup

Signed-off-by: Julien Cristau <jcristau@debian.org>

setup-all-dchroots: goodbye squeeze

Signed-off-by: Julien Cristau <jcristau@debian.org>

Fix race condition cleaning up munin CGI graphs

Avoids mails like these:

From:    Cron Daemon <root@menotti.debian.org>
To:      root@menotti.debian.org
Subject: Cron <www-data@menotti> find /var/lib/munin/cgi-tmp -mindepth 2 -type d -empty -delete

find: `/var/lib/munin/cgi-tmp/munin-cgi-graph/debian.org/bm-bl9.debian.org/iostat-month.png': No such file or directory
find: `/var/lib/munin/cgi-tmp/munin-cgi-graph/debian.org/bm-bl9.debian.org/df_inode-day.png': No such file or directory
find: `/var/lib/munin/cgi-tmp/munin-cgi-graph/debian.org/bm-bl9.debian.org/ps_exim4-month.png': No such file or directory
find: `/var/lib/munin/cgi-tmp/munin-cgi-graph/debian.org/bm-bl9.debian.org/exim_mailstats-month.png': No such file or directory
...

Update for 29.172.in-addr.arpa DS

New DS for debian.org

remove linode.emyr.net from ACL for luca

A better root prompt

prep for transition away from linode

Do not backup /var/lib/munin-async

Revert "temporarily cut retention times"

This reverts commit 8d6317345a753cb58144a5744829790abe2804cf.

Do not backup /var/lib/apt and /var/log/samhain

remove trailing /

sort entries

Revert "Try to update Exclude list"

This reverts commit 2b213a07466209440b7d628a63a28ab489728889.

Try to update Exclude list

temporarily cut retention times

update for new debian-ports archive signing key

Signed-off-by: Julien Cristau <jcristau@debian.org>

Add {pet,pet-devel} cert for petrova

Add dedup.d.n cert

TLSA for rsync sites

Update .gitignore

But remove the etckeeper-* files because they seem unused

Add uncommitted etckeeper-* things

Allow arrays for tlsaport to be passed to ssl::service

Commit local changes to fileserver.conf

fix whitespace

Ship ssl certs for i18n and l10n.d.o

remove www-master rsync

Make backups of santoro

uninstall static service certs and keys from hosts that do not serve this service

static: only install apache::site instances relevant for this mirror

static: only install ssl::service instances relevant for this mirror

santoro no longer is an old-style www mirror

santoro to staticsync (for www)

sort entries in hieradata

move some of www.d.o's redirects to https

Signed-off-by: Julien Cristau <jcristau@debian.org>

switch search.d.o to letsencrypt

Signed-off-by: Julien Cristau <jcristau@debian.org>

remove tlsa for search.debian.org

Let's try to rotate keys without breaking stuff

Signed-off-by: Julien Cristau <jcristau@debian.org>

Try different FileSet config

bacula: try ignoring /swapfile* instead of just /swapfile.  Also set Ignore FileSet Changes to avoid a full backup run everywhere.  And set Accurate = yes and enable acl and xattr support

Add certs for www-master and cgi.d.o

Add planet-search key too

Add planet-search role and cert

ssl for {10years,es,fr,miniconf10}.debconf.org

clean out some buildd.debian-ports.org/portman stuff