Document healthy-majority restriction on master-failover
authorKlaus Aehlig <aehlig@google.com>
Fri, 8 Jan 2016 13:51:20 +0000 (14:51 +0100)
committerKlaus Aehlig <aehlig@google.com>
Mon, 11 Jan 2016 11:06:20 +0000 (12:06 +0100)
The previous patch introduced a behavioral change for master-failover:
it is rejected unless a majority of nodes is healthy or the --no-voting
option is given. (While we in general do not change behavior on a stable
branch, rejecting an operation that can be retried with different command-line
options is better than breaking the cluster completely.) Document this.

Signed-off-by: Klaus Aehlig <aehlig@google.com>
Reviewed-by: Helga Velroyen <helgav@google.com>

man/gnt-cluster.rst

index e77bb9b..858fcb2 100644 (file)
@@ -655,6 +655,12 @@ skipping the interactive checks. This is even more dangerous, and should
 only be used in conjunction with other means (e.g. a HA suite) to
 confirm that the operation is indeed safe.
 
 only be used in conjunction with other means (e.g. a HA suite) to
 confirm that the operation is indeed safe.
 
+Note that in order for remote node agreement checks to work, a strict
+majority of nodes still needs to be functional. To avoid situations with
+daemons not starting up on the new master, master-failover without
+the ``--no-voting`` option verifies a healthy majority of nodes and refuses
+the operation otherwise.
+
 MASTER-PING
 ~~~~~~~~~~~
 
 MASTER-PING
 ~~~~~~~~~~~