超级账本HyperLedger: FabricCA的基本概念与用法讲解

Tags： HyperLedger 

目录

说明

这是“网易云课堂IT技术快速入门学院”使用的素材。操作、配置文件和代码讲解视频在网易云课堂《HyperLeger Fabric进阶实战课》第一章中。

具体的操作案例可以参考超级账本HyperLedger的Fabric-CA的使用演示(两个组织一个Orderer三个Peer)，如果文档理解起来有难度，可以参考发布在网易云课堂中的视频教程。

Hyperledger Fabric CA是Hyperledger Fabric的证书授权中心，支持：

添加用户、或者对接LDAP
签发注册证书
证书的更新和撤销

Welcome to Hyperledger Fabric CA

fabric-ca codes

相关笔记

视频演示：

文字介绍：

问题汇总：

概览

如下图所示，fabric-ca可以对接ldap，或者mysql、pgsql数据库。

通过fabric-ca client或者fabric-ca的sdk获得证书后，就可以用这些证书访问Peer。

fabric-ca architecture

编译安装

$ go get -u github.com/hyperledger/fabric-ca
$ cd $GOPATH/src/github.com/hyperledger/fabric-ca
$ make fabric-ca-server
$ make fabric-ca-client
$ ls bin/
fabric-ca-client  fabric-ca-server

fabric-ca-server初始化

mkdir -p /opt/app/fabric-ca/client
cp $GOPATH/src/github.com/hyperledger/fabric-ca/bin/fabric-ca-client /opt/app/fabric-ca/client/
ln -s /opt/app/fabric-ca/client/fabric-ca-client  /usr/bin/fabric-ca-client

mkdir -p /opt/app/fabric-ca/server
cp $GOPATH/src/github.com/hyperledger/fabric-ca/bin/fabric-ca-server /opt/app/fabric-ca/server/
cd /opt/app/fabric-ca/server

初始化，可以使用ldap、mysql、postgresql，或者本地sqlite，默认sqlite：

./fabric-ca-server init -b admin:pass

如果启动的是中间CA，用-u指定上级CA：

./fabric-ca-server start -b admin:adminpw -u http://<enrollmentID>:<secret>@<parentserver>:<parentport>

如果直接作为RootCA，后面两个参数表示允许删除联盟和用户:

./fabric-ca-server start -b admin:pass --cfg.affiliations.allowremove  --cfg.identities.allowremove

初始化后，会在当前目录生成以下文件：

ca-cert.pem  fabric-ca-server-config.yaml  fabric-ca-server.db  msp/

fabric-ca-server-config.yaml是fabric-ca-server的配置文件。

其中ca-cert.pem是一个自签署的证书：

$ openssl verify -CAfile ca-cert.pem ca-cert.pem
ca-cert.pem: OK

这个证书是根据fabric-ca-server-config.yaml中的csr生成的：

csr:
   cn: fabric-ca-server
   names:
      - C: US
        ST: "North Carolina"
        L:
        O: Hyperledger
        OU: Fabric
   hosts:
     - 10-39-0-121
     - localhost
   ca:
      expiry: 131400h
      pathlength: 1

可以用下面的命令查看：

openssl x509 -in ca-cert.pem  -text

如果要生成被其它CA签署的证书，使用-u指定上一级CA：

-u <parent-fabric-ca-server-URL>

URL格式：
    <scheme>://<enrollmentID>:<secret>@<host>:<port>

如果要签署已经准备好的key，需要用ca.certfile和ca.keyfile指定：

ca:
  # Name of this CA
  name:
  # Key file (is only used to import a private key into BCCSP)
  keyfile:
  # Certificate file (default: ca-cert.pem)
  certfile:
  # Chain file
  chainfile:

msp/keystore中存放的BCCSP (BlockChain Crypto Service Provider)中用到的key:

bccsp:
    default: SW
    sw:
        hash: SHA2
        security: 256
        filekeystore:
            # The directory used for the software file-based keystore
            keystore: msp/keystore

还可以通过指定-cacount生成多个CA：

fabric-ca-server start -b admin:adminpw --cacount 2

以及指定多个cafiles:

fabric-ca-server start -b admin:adminpw --cafiles ca/ca1/fabric-ca-config.yaml --cafiles ca/ca2/fabric-ca-config.yaml

每个cafiles格式如下：

ca:
# Name of this CA
name: <CANAME>

csr:
  cn: <COMMONNAME>

目录结构可以如下：

--<Server Home>
  |--ca
    |--ca1
      |-- fabric-ca-config.yaml
    |--ca2
      |-- fabric-ca-config.yaml

生成fabric-ca管理员的凭证

生成第一个用户的凭证:

export FABRIC_CA_CLIENT_HOME=/opt/app/fabric-ca/clients/admin
mkdir -p $FABRIC_CA_CLIENT_HOME
fabric-ca-client enroll -u http://admin:pass@localhost:7054

或者：

fabric-ca-client enroll -u http://admin:pass@localhost:7054 -H `pwd`

在/opt/app/fabric-ca/clients/admin可以看到生成了以下文件：

fabric-ca-client-config.yaml  msp/

其中fabric-ca-client-config.yaml是一个默认的配置文件,msp/中存放的是相关的证书。

msp/
|-- cacerts
|   -- localhost-7054.pem
|-- intermediatecerts
|   -- localhost-7054.pem
|-- keystore
|   -- a17c01f53b037cbf51ad76f2a95684e6b2a4b8371e0b247949805af8035bf50e_sk
-- signcerts
    -- cert.pem

之后就可以通过msp目录中的证书，访问fabric-ca，不需要在输入密码。

查看联盟成员

fabric-ca默认注册了几个联盟，可以用affiliation list查看：

$ fabric-ca-client affiliation list
2018/04/28 14:59:55 [INFO] 127.0.0.1:38094 GET /affiliations 200 0 "OK"
affiliation: .
   affiliation: org1
      affiliation: org1.department1
      affiliation: org1.department2
   affiliation: org2
      affiliation: org2.department1

添加/删除联盟成员，也是通过这个命令进行：

fabric-ca-client affiliation add another
fabric-ca-client affiliation add another.sub

新增加的联盟成员如下：

[root@10-39-0-121 admin]# fabric-ca-client affiliation list
2018/04/28 15:03:42 [INFO] 127.0.0.1:38104 GET /affiliations 201 0 "OK"
affiliation: .
   affiliation: org1
      affiliation: org1.department1
      affiliation: org1.department2
   affiliation: org2
      affiliation: org2.department1
   affiliation: another
      affiliation: another.sub1

默认是禁止删除联盟，如果需要开启，需要在启动fabric-ca-server时传入参数--cfg.affiliations.allowremove:

./fabric-ca-server start -b  admin:pass  --cfg.affiliations.allowremove

然后可以删除：

fabric-ca-client affiliation remove another.sub1

如果联盟下还有联盟，可以加上参数-force级联删除。

注册新用户

例如注册一个名为admin2的用户，先指定要使用的用户的client目录：

$ export FABRIC_CA_CLIENT_HOME=/opt/app/fabric-ca/clients/admin

也可以用-H参数指定：

$ fabric-ca-client -H /opt/app/fabric-ca/clients/admin  <其它参数...>

注册新用户的命令如下：

$ fabric-ca-client register --id.name admin2 --id.affiliation org1.department1 --id.attrs 'hf.Revoker=true,admin=true:ecert'
2018/04/28 10:20:42 [INFO] Configuration file location: /opt/app/fabric-ca/clients/admin/fabric-ca-client-config.yaml
2018/04/28 10:20:42 [INFO] 127.0.0.1:38036 POST /register 201 0 "OK"
Password: wvkpvMzLsjPz

新用户注册后，会自动为新用户生成一个密码，新用户需要使用这个密码，生成自己的凭证，就像第一个用户那样。

为新注册的用户admin2准备一个目录，注意要使用一个新的目录，防止与其它用户混淆：

export FABRIC_CA_CLIENT_HOME=/opt/app/fabric-ca/clients/admin2
mkdir -p $FABRIC_CA_CLIENT_HOME

然后生成凭证：

fabric-ca-client enroll -u http://admin2:wvkpvMzLsjPz@localhost:7054

之后可以看到新的目录中也生成了fabric-ca-client-config.yaml和msp/，这是admin2用户的凭证：

$ tree admin2/
admin2/
|-- fabric-ca-client-config.yaml
-- msp
    |-- cacerts
    |   -- localhost-7054.pem
    |-- intermediatecerts
    |   -- localhost-7054.pem
    |-- keystore
    |   -- 6732d8d3802384c8935aa7174930975ba6141b6d4bc419e6ccbe5f4d76db58f0_sk
    -- signcerts
        -- cert.pem

用户的属性

在注册admin2的时候，指定了这样一些属性--id.attrs 'hf.Revoker=true,admin=true:ecert'：

fabric-ca-client register --id.name admin2 --id.affiliation org1.department1 --id.attrs 'hf.Revoker=true,admin=true:ecert'

这些属性是一定要了解的，以hf.开头的属性，是fabric-ca的内置属性:

hf.Registrar.Roles            List        List of roles that the registrar is allowed to manage
hf.Registrar.DelegateRoles    List        List of roles that the registrar is allowed to give to a registree for its ‘hf.Registrar.Roles’ attribute
hf.Registrar.Attributes       List        List of attributes that registrar is allowed to register
hf.GenCRL                     Boolean     Identity is able to generate CRL if attribute value is true
hf.Revoker                    Boolean     Identity is able to revoke a user and/or certificates if attribute value is true
hf.AffiliationMgr             Boolean     Identity is able to manage affiliations if attribute value is true
hf.IntermediateCA             Boolean     Identity is able to enroll as an intermediate CA if attribute value is true

这些属性表示的是用户是否拥有相关的权限:

hf.Registrar.Roles该用户可以增加的新用户类型，用户类型都有：client、orderer、peer、user。

hf.Registrar.DelegateRoles该用户可以设置的新用户的hf.Registrar.Roles属性。

hf.Registrar.Attributes该用户可以为新用户设置的保留属性和自定义属性。

hf.GenCRL该用户是否可以获取CRL列表，已经撤销的证书列表。

hf.Revoker该用户是否能够撤销其它用户。

hf.AffiliationMgr该用户是否可以管理联盟。

hf.IntermediateCA该用户是否可以作为中间CA。

除了这些以hf.开头的属性外，还可以自定义属性，例如下面的admin=true:

fabric-ca-client register --id.name admin2 --id.affiliation org1.department1 \
--id.attrs 'hf.Revoker=true,admin=true:ecert'

用户自定义的属性可以写入到用户的凭证中，在合约中可以获取发起请求的用户属性，根据用户属性决定用户是否由操作权限。

参考HyplerLedger FabricCA ABAC，HyperLedger Fabric Chaincode ABAC给出一个使用ABAC的chaincode:

...
"github.com/hyperledger/fabric/core/chaincode/lib/cid"
...

err := cid.AssertAttributeValue(stub, "abac.init", "true")
if err != nil {
    return shim.Error(err.Error())
}
...

cid的使用说明见: HyperLedger Fabric: Client Identity Chaincode Library

cid（Client Identity）中提供下面的方法：

+AssertAttributeValue(stub ChaincodeStubInterface, attrName, attrValue string) : error
+GetAttributeValue(stub ChaincodeStubInterface, attrName string) : string, bool, error
+GetID(stub ChaincodeStubInterface) : string, error
+GetMSPID(stub ChaincodeStubInterface) : string, error
+GetX509Certificate(stub ChaincodeStubInterface) : *x509.Certificate, error
+New(stub ChaincodeStubInterface) : ClientIdentity, error

▼+ClientIdentity : interface
    [methods]
   +AssertAttributeValue(attrName, attrValue string) : error
   +GetAttributeValue(attrName string) : string, bool, error
   +GetID() : string, error
   +GetMSPID() : string, error
   +GetX509Certificate() : *x509.Certificate, error

“admin=true:ecert”中的ecert的意思是，该属性会被自动写入到用户凭证中(enrollment certificate)。

对于没有注明ecert的属性，可以在生成用户凭证的时候，例如注册了这样一个用户的时候:

fabric-ca-client register --id.name user1 --id.secret user1pw --id.type user \
--id.affiliation org1 --id.attrs 'app1Admin=true:ecert,[email protected]'

它的属性[email protected]没有注明是ecert，在生成凭证的时候，可以指定下面的属性：

fabric-ca-client enroll -u http://user1:user1pw@localhost:7054 --enrollment.attrs "email,phone:opt"

app1Admin将被自动包含在凭证中；email是被明确指定的，它必须是存在的，否则报错；phone:opt也是明确指定的，opt表示phone属性可选的，如果没有phone属性不会报错。

以hf.开头的下面三个属性，也会被自动包含在登陆凭证中：

hf.EnrollmentID    The enrollment ID of the identity
hf.Type            The type of the identity
hf.Affiliation     The affiliation of the identity

查看用户详情

可以用fabric-ca-client identity list查看有权限查看的用户的详情：

$ fabric-ca-client identity list
Name: admin, Type: client, Affiliation: , Max Enrollments: -1, Attributes: [{Name:hf.GenCRL Value:1 ECert:false} {Name:hf.Registrar.Attributes Value:* ECert:false} {Name:hf.AffiliationMgr Value:1 ECert:false} {Name:hf.Registrar.Roles Value:peer,orderer,client,user ECert:false} {Name:hf.Registrar.DelegateRoles Value:peer,orderer,client,user ECert:false} {Name:hf.Revoker Value:1 ECert:false} {Name:hf.IntermediateCA Value:1 ECert:false}]
Name: admin2, Type: client, Affiliation: org1.department1, Max Enrollments: -1, Attributes: [{Name:hf.Revoker Value:true ECert:false} {Name:admin Value:true ECert:true} {Name:hf.EnrollmentID Value:admin2 ECert:true} {Name:hf.Type Value:client ECert:true} {Name:hf.Affiliation Value:org1.department1 ECert:true}]

用户的权利范围

用户的权利范围是用联盟属性hf.Affiliation来控制的。

hf.Affiliation     The affiliation of the identity

联盟属性一个类似”a.b.c”样式的字符串，最顶层用户的该属性为”.”。

一个用户只能管理平级以及下级的用户。

例如如果一个用户的hf.Affiliation是”a.b.*“，那么它能管理的用户的联盟属性必须以”a.b”开头。

联盟属性可以配置多个，并且支持通配符，例如：

hf.Registrar.Attributes = a.b.*, x.y.z

另外:

一个用户管理它的`hf.Registrar.Roles`属性中列出用户类型。
一个用户能够管理的其它用户的属性，只能是它的`hf.Registrar.Attributes`属性列出的属性。
    其中保留属性，还要求必须是当前用户拥有的属性。

后续的很多操作都受到权利范围的约束。

接下来…

更多关于超级账本和区块链的文章

参考

  1. Welcome to Hyperledger Fabric CA
  2. fabric-ca codes
  3. hyperledger的fabric项目的全手动部署
  4. hyperledger的fabric项目的全手动部署: 开始部署
  5. hyperledger的fabricCA的安装使用
  6. HyplerLedger FabricCA ABAC
  7. HyperLedger Fabric Chaincode ABAC
  8. HyperLedger Fabric: Client Identity Chaincode Library
编程基础  系统基础  关注跟踪 
Kubernetes  Prometheus  超级账本 


HyperLedger

  1. hyperledger fabric 1.3.0 多节点手动部署
  2. 【视频】超级账本HyperLedger: Fabric源码走读(一)：项目构建与代码结构
  3. 【视频】超级账本HyperLedger: Fabric Go SDK的使用
  4. 【视频】超级账本HyperLedger: Fabric使用kafka进行区块排序（共识）
  5. 超级账本HyperLedger: Fabric 1.2.0使用时遇到的问题
  6. 超级账本HyperLedger: Fabric的Chaincode开发过程中遇到的问题
  7. 【视频】超级账本HyperLedger: 为Fabric的Peer节点配置CouchDB
  8. 【视频】超级账本HyperLedger: Fabric从1.1.0升级到1.2.0
  9. 【视频】超级账本HyperLedger: Fabric源码走读(零)：源代码阅读环境准备
  10. 【视频】超级账本HyperLedger: Fabric的Chaincode（智能合约、链码）开发、使用演示
  11. 超级账本HyperLedger: Fabric Node.js SDK使用时遇到的问题
  12. 超级账本HyperLedger: Fabric Golang SDK使用时遇到的问题
  13. 超级账本HyperLedger: FabricCA的级联使用（InterMediateCA）
  14. 【视频】超级账本HyperLedger: 使用Ansible进行Fabric多节点分布式部署（实战）
  15. 超级账本HyperLedger: Fabric掰开揉碎，一文解惑
  16. 超级账本HyperLedger: Fabric Channel配置的读取转换
  17. 【视频】超级账本HyperLedger: Fabric进阶，在已有的Channel中添加新的组织
  18. 超级账本HyperLedger: 超级账本工作组旗下项目介绍
  19. 超级账本HyperLedger: Fabric Chaincode（智能合约、链码）开发方法
  20. 【视频】超级账本HyperLedger: Fabric-CA的使用演示(两个组织一个Orderer三个Peer)
  21. 超级账本HyperLedger: FabricCA的基本概念与用法讲解
  22. 【视频】超级账本HyperLedger: Fabric的全手动、多服务器部署教程
  23. 超级账本HyperLedger: Explorer安装使用
  24. 【视频】超级账本HyperLedger: Fabric nodejs SDK的使用
  25. 超级账本HyperLedger: Fabric部署过程时遇到的问题汇总
  26. 超级账本HyperLedger: Cello部署和使用
  27. 超级账本HyperLedger: Fabric的基本概念与基础用法

推荐阅读

Copyright @2011-2019 All rights reserved. 转载请添加原文连接，合作请加微信lijiaocn或者发送邮件: [email protected]，备注网站合作

友情链接:  系统软件  程序语言  运营经验  水库文集  网络课程  微信网文  发现知识星球