初识fabric-CA

初识fabric-CA

我们是光大科技有限公司智能化平台团队区块链项目组，致力于构建集团区块链基础设施平台，提供区块链技术在金融行业的完备解决方案，降低区块链的开发、运维难度，助力集团数字化转型。我们团队拥有经验丰富的区块链领域技术专家和研发工程师，将不定期分享区块链及相关领域的技术文章和解决方案，和大家共同探索金融行业区块链技术的落地实践和发展趋势。

图片来源于网络

图片来源于网络

获取Fabric CA Server 颁发的证书主要途径有两种：一种是通过代码中调用CA Server的API/SDK，一种是使用Fabric CA Client工具，client其实也是封装了CA Server的各种API。

一个证书账号的生命周期如下图所示：

register字面的意思是注册，注册就是一个实体或者组织向CA自我介绍的过程；register操作会将实体的ID、密码、类型等属性告诉CA Server，并保存到Server的数据库中。

enroll字面的意思是登记，就是最终实体用注册过的ID、密码等属性进行证书申请，并从CA接收证书的过程。

这是申请证书必不可少的两个步骤，咱们来详细描述下这个过程。

登记引导身份

假设本地已经启动了一个Fabric CA Server

fabric-ca-server start -b admin:adminpw –port 7054

本地先声明一个环境变量，指定fabric ca client的工作目录，如果未指定，默认工作目录在$HOME/.fabric-ca-client

export FABRIC_CA_CLIENT_HOME=$HOME/fabric-ca/clients/admin

进行引导身份登记

fabric-ca-client enroll -u http://admin:adminpw@localhost:7054

enroll命令会生成一份enrollment 证书 (ECert), 以及对应的私钥文件和CA根证书 PEM 文件 ，保存在Fabric CA client的 msp 子目录下。

注册新身份

Fabric CA server制定了如下3种权限检验规则：

1. 注册者必须拥有hf.Registrar.Roles属性，其中的一个值与被注册身份的类型相同。例如注册User身份，则注册者的hf.Registrar.Roles属性中必须包含User值。

2. 注册者的组织关系必须与被注册身份相同或者是被注册身份组织关系的前缀。例如注册者组织关系为a.b，则被注册身份可以为a.b或a.b.*。

3. 注册者可以注册带有属性的用户，当且仅当满足如下情况：

• 注册者可以注册以“hf”为前缀的Fabric CA保留属性，注册者拥有保留属性且取值必须是hf.Registrar.Attributes属性中的值。如果属性是类型列表，则被注册的属性的值必须等于或是注册者具有的值的子集。如果属性为布尔类型，则注册者只有在该属性值为“true”时才能注册该属性。具体要看CA Server的属性配置。

• 注册非“hf”前缀的自定义属性，要求注册者拥有hf.Registrar.Attributes属性和值或属性和模式表达式。如果注册者有hf.Registrar.Attributes=ad*，那么注册者可以从身份添加或删除的属性就是以“ad”为前缀的属性。

• 如果请求的属性名是以hf为前缀的保留属性，则会进行额外的检查，以查看该属性值是否为注册者相同属性值的子集。

示例如下：

export FABRIC_CA_CLIENT_HOME=$HOME/fabric-ca/clients/admin

fabric-ca-client register –id.name admin2 –id.type user –id.affiliation org1.department1 –id.attrs \’hf.Revoker=true,admin=true:ecert\’

上面的命令以admin身份证书注册了一个id为admin2，类型是user，组织关系为org1.department1的用户，并提供了hf.Revoker的保留属性和admin的自定义属性（:ecert表示该属性名和值会插入到登记证书中）。

fabric-ca-client register -d –id.name peer1 –id.secret peer1PW –id.type peer -u https://0.0.0.0:7054

这个命令以admin身份证书注册了一个id 为peer1，密码为peer1PW，类型是peer的用户。

登记身份，获取证书

export FABRIC_CA_CLIENT_HOME=$HOME/fabric-ca/clients/peer1

fabric-ca-client enroll -u http://peer1:peer1pw@localhost:7054 -M $FABRIC_CA_CLIENT_HOME/msp

该命令执行完，在msp目录下，就可以获得peer1主体的证书了。

目录结构如下：

cacerts目录下的证书是CA的根证书；

Keystore目录下存的是peer1节点的私钥；

Signcerts目录下是CA给peer1颁发的证书。

重新登记身份

假设证书即将过期，可以通过如下命令重新登记身份。

export FABRIC_CA_CLIENT_HOME=$HOME/fabric-ca/clients/peer1

fabric-ca-client reenroll

撤销证书或身份

export FABRIC_CA_CLIENT_HOME=$HOME/fabric-ca/clients/peer1

fabric-ca-client revoke -e <enrollment_id> -r <reason>

修改身份

fabric-ca-client identity modify user1 –json \'{\”secret\”: \”newPassword\”, \”affiliation\”: \”.\”, \”attrs\”: [{\”name\”: \”hf.Regisrar.Roles\”, \”value\”: \”peer,client\”},{\”name\”: \”hf.Revoker\”, \”value\”: \”true\”}]}\’

移除身份

fabric-ca-client identity remove user1

扫描二维码 ｜关注我们

作者：栗石