介绍Hyperledger Fabric CA的命令行方式简单用法

Hyperledger Fabric CA由server和client两部分组成。
设置两个环境变量

export FABRIC_CA_SERVER_HOME=/path_to/fabric-ca/server
export FABRIC_CA_CLIENT_HOME=/path_to/fabric-ca/client

server的操作主要有两个：

1. 初始化Server服务

在server启动之前，需要至少有一个自我认证的身份存在，这个步骤主要会创建这个自我认证的身份。

${FABRIC_CA_SERVER_HOME}/fabric-ca-server init -b admin:adminpw
2017/10/09 13:44:47 [INFO] Created default configuration file at /path_to/fabric-ca/server/fabric-ca-server-config.yaml
2017/10/09 13:44:47 [INFO] generating key: &{A:ecdsa S:256}
2017/10/09 13:44:47 [INFO] encoded CSR
2017/10/09 13:44:47 [INFO] signed certificate with serial number 140063197993174970535175712880510082344059841460
2017/10/09 13:44:47 [INFO] The CA key and certificate were generated for CA
2017/10/09 13:44:47 [INFO] The key was stored by BCCSP provider 'SW'
2017/10/09 13:44:47 [INFO] The certificate is at: /path_to/fabric-ca/server/ca-cert.pem
2017/10/09 13:44:47 [INFO] Initialized sqlite3 database at /path_to/fabric-ca/server/fabric-ca-server.db
2017/10/09 13:44:47 [INFO] Home directory for default CA: /path_to/fabric-ca/server
2017/10/09 13:44:47 [INFO] Initialization was successful

命令执行完成后生成如下4个文件：

  1. server配置文件
    ${FABRIC_CA_SERVER_HOME}/fabric-ca-server-config.yaml
  2. server内部存储数据库文件
    ${FABRIC_CA_SERVER_HOME}/fabric-ca-server.db
  3. 自我认证身份的证书文件
    ${FABRIC_CA_SERVER_HOME}/ca-cert.pem
  4. 自我认证身份的私钥(private key)文件${FABRIC_CA_SERVER_HOME}/msp/keystore/27554ec70fe8a2707c0a74ba5d6ecb36a0a4d565871c4f050ed93d662849560d_sk

其中${FABRIC_CA_SERVER_HOME}/fabric-ca-server.db是一个sqlite文件，包含三个表：

1. table affiliations
name VARCHAR(64)  | prekey VARCHAR(64)
------------------+--------------------+
org1              |                    |
org1.department1  |org1                |
org1.department2  |org1                |
org2              |                    |
org2.department1  |org2                |
------------------+--------------------+
2. table certificates
<no date>
3. table users
id VARCHAR(64)  | token bytea                                                 | type VARCHAR(64) | affiliation VARCHAR(64) |  attributes VARCHAR(256) | state INTEGER |  max_enrollments INTEGER  |
----------------+-------------------------------------------------------------+------------------+-------------------------+--------------------------+---------------+---------------------------+
admin           |$2a$10$9AVqV7I8tGvA0GPUbAuTluzTEiJwb1F1MHw2OjywGPqTeIH/5pvH6 |client            |                         |  <see bellow>            | 0             | -1                        |
----------------+-------------------------------------------------------------+------------------+-------------------------+--------------------------+---------------+---------------------------+attributes=[{"name":"hf.Registrar.DelegateRoles","value":"client,user,validator,auditor"},{"name":"hf.Revoker","value":"1"},{"name":"hf.IntermediateCA","value":"1"},{"name":"hf.Registrar.Roles","value":"client,user,peer,validator,auditor"}]

2. 启动Server服务

初始化完成之后就可以启动server。

${FABRIC_CA_SERVER_HOME}/fabric-ca-server start -b admin:adminpw
2017/10/09 12:17:04 [INFO] Configuration file location: /path_to/fabric-ca/fabric-ca-server-config.yaml
2017/10/09 12:17:04 [INFO] Starting server in home directory: /path_to/fabric-ca
2017/10/09 12:17:04 [INFO] The CA key and certificate already exist
2017/10/09 12:17:04 [INFO] The key is stored by BCCSP provider 'SW'
2017/10/09 12:17:04 [INFO] The certificate is at: /path_to/fabric-ca/ca-cert.pem
2017/10/09 12:17:04 [INFO] Initialized sqlite3 database at /path_to/fabric-ca/fabric-ca-server.db
2017/10/09 12:17:04 [INFO] Home directory for default CA: /path_to/fabric-ca
2017/10/09 12:17:04 [INFO] Listening on %!s(int=7054)%!(EXTRA string=http://0.0.0.0:7054)

这里，启动过程使用默认的配置文件，即在初始化阶段生成的${FABRIC_CA_SERVER_HOME}/fabric-ca-server-config.yaml，如果需要使用非默认配置文件，只需要通过命令行参数--config指定文件名即可。

另，我们看到server端的主要操作有两步完成，第一步初始化，第二步启动；实际上两步可以合并成一步，即直接执行第二步启动就可以，因为在启动过程中如果发现还没有进行过初始化，那么会自动执行初始化的操作；那为什么需要分成两步呢，因为初始化完成之后用户可能需要对配置文件进行修改，调整参数和配置，然后在启动，而如果直接执行第二步就没有机会修改和调整配置了。

启动完之后可以发送如下命令检查时候工作正常

$ curl -i -uadmin:adminpw -X POST -H "Content-type:application/json" http://localhost:7054/cainfo
HTTP/1.1 200 OK
Content-Type: application/json
Date: Tue, 10 Oct 2017 05:42:16 GMT
Content-Length: 1127{"success":true,"result":{"CAName":"","CAChain":"LS0tLS1CRUdJT......tLS0K"},"errors":[],"messages":[]
}

下面三步是客户端的操作

3. 完成自证管理员身份认证

自证管理员是在server启动的时候就内置进去的；后面的很多操作都需要管理员的身份，所以这一步先要获取管理员的身份资格，才能往下操作，比如添加新的角色身份，添加新的管理员等等。

${FABRIC_CA_CLIENT_HOME}/fabric-ca-client enroll -u http://admin:adminpw@localhost:7054
2017/10/09 15:58:40 [INFO] User provided config file: /path_to/fabric-ca/client/fabric-ca-client-config.yaml
2017/10/09 15:58:40 [INFO] Created a default configuration file at /path+_to/fabric-ca/client/fabric-ca-client-config.yaml
2017/10/09 15:58:40 [INFO] generating key: &{A:ecdsa S:256}
2017/10/09 15:58:40 [INFO] encoded CSR
2017/10/09 15:58:40 [INFO] Stored client certificate at /path_to/fabric-ca/client/msp/signcerts/cert.pem
2017/10/09 15:58:40 [INFO] Stored CA root certificate at /path_to/fabric-ca/client/msp/cacerts/localhost-7054.pem

端口7054是server的默认端口，可以在server配置文件里${FABRIC_CA_SERVER_HOME}/fabric-ca-server-config.yaml进行修改。

命令执行完之后生成如下4个文件：

  1. client配置文件
    ${FABRIC_CA_CLIENT_HOME}/fabric-ca-client-config.yaml
  2. CA根证书文件
    ${FABRIC_CA_CLIENT_HOME}/msp/cacerts/localhost-7054.pem
    这个文件其实就是server端的自我认证身份的证书文件，即${FABRIC_CA_SERVER_HOME}/ca-cert.pem一致
  3. client证书文件
    ${FABRIC_CA_CLIENT_HOME}/msp/signcerts/cert.pem
  4. client私钥(private key)文件
    ${FABRIC_CA_CLIENT_HOME}/msp/keystore/338dc8051e6aa74bcbc1ee7da17afb735e0d8c1291f0a6b6d98bfce605a774ba_sk

再看server端数据库的变化，可以看到表certificates里面多了一条记录：

1. certificatesid VARCHAR(64) | serial_number blob                      | authority_key_identifier blob            | ca_label blob | status blob | reason int | expiry timestamp          | revoked_at timestamp      | pem blob |
---------------+-----------------------------------------+------------------------------------------+---------------+------------------------------------------------------+---------------------------+----------+
admin          | 5b5c9e1859b1798088cf096c7f249301512fdc8 | bf588926fdff01c07124099d0455846fae32ecde |               | good        | 0          | 2018-10-09 07:54:00+00:00 | 0001-01-01 00:00:00+00:00 | <bellow> |
---------------+-----------------------------------------+------------------------------------------+---------------+------------------------------------------------------+---------------------------+----------+pem blob=
-----BEGIN CERTIFICATE-----
MIICVjCCAfygAwIBAgIUBbXJ4YWbF5gIjPCWx/JJMBUS/cgwCgYIKoZIzj0EAwIw
aDELMAkGA1UEBhMCVVMxFzAVBgNVBAgTDk5vcnRoIENhcm9saW5hMRQwEgYDVQQK
...
A0gAMEUCIQDVO1GO+9k+g7hbuevLh/YRq9LQNptu6IaJOAzLuPdCeQIgcMvfoKuv
Y+W2JC70/xbL4yimpt86k55CA/aqyrmq5+0=
-----END CERTIFICATE-----
实际上这个pem的内容就是client的证书文件，即${FABRIC_CA_CLIENT_HOME}/msp/signcerts/cert.pem一致。

4. 登记普通角色身份(register)

如下示例，我们使用 admin 的身份及其配套证书，登记了一个名称为 "tester"、类型为 "user"、组织关系为 "org1.department1"、"hf.Revoker" 属性为 "true" 的新角色：

${FABRIC_CA_CLIENT_HOME}/fabric-ca-client register --id.name tester   --id.secret testpasswd --id.type user --id.affiliation org1.department1 --id.attrs hf.Revoker=true
or
${FABRIC_CA_CLIENT_HOME}/fabric-ca-client register --id.name tester02 --id.secret testpasswd --id.type user --id.affiliation org1.department2 --id.attrs 'hf.Revoker=true,admin=true:ecert'

这地方需要注意的是:

  • --id.type参数必须是是server端配置文件fabric-ca-server-config.yaml里hf.Registrar.Roles属性值里的一个。
  • --id.affiliation参数表示被注册对象的从属关系参数一定要归属于预先配置的组织属性。换句话说，被注册对象的affiliation参数一定要是预先配置的affiliation参数的一个前缀。例如，假设预先配置的组织关系为：“a.b.c”，那么新注册的对象的affiliation属性可以是“a.b.c”，也可以是“a.b”，但“a.c”就不能通过注册。

再看server端数据库的变化，可以看到表users里面多了一条记录。

1. table users
id VARCHAR(64)  | token bytea                                                  | type VARCHAR(64) | affiliation VARCHAR(64) |  attributes VARCHAR(256) | state INTEGER |  max_enrollments INTEGER  |
----------------+--------------------------------------------------------------+------------------+-------------------------+--------------------------+---------------+---------------------------+
admin           | $2a$10$9AVqV7I8tGvA0GPUbAuTluzTEiJwb1F1MHw2OjywGPqTeIH/5pvH6 | client           |                         | <see bellow>             | 0             | -1                        |
tester          | $2a$10$kOuCBi8IHk8tAUD9afNtLOYBmiYcse4rLdURILoumuJCI69FVDm2O | user             | org1.department1        | <see bellow>             | 0             | -1                        |
----------------+--------------------------------------------------------------+------------------+-------------------------+--------------------------+---------------+---------------------------+
attributes=[{"name":"hf.Registrar.DelegateRoles","value":"client,user,validator,auditor"},{"name":"hf.Revoker","value":"1"},{"name":"hf.IntermediateCA","value":"1"},{"name":"hf.Registrar.Roles","value":"client,user,peer,validator,auditor"}]
attributes=[{"name":"hf.Revoker","value":"true"}]

5. 认证普通角色身份(enroll)

完成身份登记之后需要做认证。

${FABRIC_CA_CLIENT_HOME}/fabric-ca-client enroll -u http://tester:testpasswd@localhost:7054
or
${FABRIC_CA_CLIENT_HOME}/fabric-ca-client enroll -u http://tester02:testpasswd@localhost:70542017/10/09 13:34:52 [INFO] User provided config file: /path_to/fabric-ca-client/fabric-ca-client-config.yaml
2017/10/09 13:34:52 [INFO] generating key: &{A:ecdsa S:256}
2017/10/09 13:34:52 [INFO] encoded CSR
2017/10/09 13:34:52 [INFO] Stored client certificate at /path_to/fabric-ca-client/msp/signcerts/cert.pem
2017/10/09 13:34:52 [INFO] Stored CA root certificate at /path_to/fabric-ca-client/msp/cacerts/localhost-7054.pem

完成角色认证后，再看server端数据库的变化，和自证管理员身份认证一样，会往certificates表里面插入一条数据，其内容是对应角色的证书信息。

6. 总结登记(register)和认证(enroll)的功能

总结起来，登记身份和认证身份分别完成的功能是：

  1. 登记身份用来登记一个身份
    它需要提供待登记身份的身份信息，包含用户名，密码，类型，组织关系，等属性。
    实施登记的人，还需要有登记的权限，例如初始的自证管理员，或其他管理员身份。
    登记过程不会生成本地文件，但是会往server的数据库表users中插入一条数据。
  2. 认证身份用来认证一个前面已经登记过的身份
    它需要提供登记时身份的名字和密码；实施认证不需要认证的权利。
    认证过程会生成本地文件，包括client配置文件，client证书文件，client私钥文件，和根证书文件。
    同时在server端会把client的证书写入数据库表certificates中。

这也就是client三个步骤里面，第一步就需要做自证管理员身份的认证操作，因为此时客户端没有任何证书身份信息，只有自证管理员的名字和密码，可以完成自证管理员的认证操作；完成后本地就有自证管理员的身份信息包括证书文件，私钥；有了这些信息，才可以操作接下来的登记其他身份操作，因为登记一个身份需要具有登记权限的人才能做，既然刚才已经完成了自证管理员的认证操作，那么本地身份就是自证管理员，因此可以以自证管理员身份进行其他的登记操作。

另外要注意的是，在认证身份的时候会把之前已经存在的所有配置文件(包括client配置文件，client证书文件，client私钥文件，根证书文件)都重新写掉，文档上说可以通过命令行指定不同的文件名，但是经过试验好像不灵，不知道这是我使用上的问题，还是程序bug。所以在我们例子中当完成用户tester的认证之后，本地的证书信息就被覆盖成tester的了，此时再进行用户登记操作就会失败，因为本地用户已经是tester了，而不是最初的自证管理员了，而tester用户不具有登记用户的权限。办法就是重新认证自证管理员身份。

作者：CodeGeek
链接：https://www.jianshu.com/p/2159f9043102
來源：简书

转自：https://www.jianshu.com/p/2159f9043102

Hyperledger Fabric CA的命令行用法相关推荐

  1. lessc_Less 命令行用法

    使用命令行,我们可以将 .less 文件编译为 .css . 安装lessc以供全局使用 以下命令用于使用npm(node package manager)安装lessc,以使less在全局可用. n ...

  2. Hyperledger Fabric CA User’s Guide——概述（二）

    概述 下面的图表说明了如何将Hyperledger Fabric CA与总体的Hyperledger Fabric结构相匹配. 有两种方式与一种Hyperledger Fabric CA服务器进行交互 ...

  3. svn ignore 命令行用法

    2019独角兽企业重金招聘Python工程师标准>>> svn ignore 命令行用法 2010年8月24日 admin 发表评论 阅读评论 若想创建了一个文件夹,并且把它加入版本 ...

  4. logcat 命令行用法

    logcat 命令行用法 2016年09月20日 15:33:39 adaptiver 阅读数:3624更多 个人分类: android http://blog.csdn.net/tumuzhuanj ...

  5. 【转】msdev devenv 的命令行用法(以编译BerkeleyDB为例)

    最近编译chrome,vs打开chrome后不停地更新智能提示,很占资源,所以查查在命令行编译vs工程的方法.最近wince工程也要自动编译,所以也需要在命令行编译vddproj文件. 转自:http ...

  6. sqlplus编辑命令行用法

    sqlplus编辑命令行用法 set linedize 150 //每行显示的字符 set time on //在提示符前显示系统时间 SQL> set time on 12:25:08 SQL ...

  7. 探究 Xcode 命令行用法二：xcodebuild 测试实践

    本文还是 adat 项目的延伸,瞄准开发周期的测试环节,主要介绍 Xcode 范畴内的测试概念和自动化测试实践,不会讨论如何编写高质量的测试用例.文中涉及到 Xcode 构建的许多概念,大部分已在前两 ...

  8. 探究 Xcode 命令行用法三：xcodebuild 打包实践（上）

    本文还是 adat 项目的延伸,开始介绍打包实践.打包相关的内容繁多,作者把它分成了多篇文章,本文主要是概念部分.理解这些概念对于自己动手编写打包命令至关重要.如果你使用 fastlane.bitri ...

  9. toybox执行linux程序,VirtualBox 的命令行用法

    作为一款功能强大的开源虚拟机软件,VirtualBox 不仅提供有图形化的用户界面,而且也包含命令行界面.VirtualBox 的命令行界面程序为 VBoxManage,通过它你可以完成从命令行创建虚 ...

最新文章

  1. 工作经验：Java 系统记录调用日志，并且记录错误堆栈
  2. Oracle数据库备份与恢复的三种方法
  3. elasticsearch 通过curl的操作
  4. Docker框架使用系列教程（六）创建镜像
  5. 上拉加载 php,php+jquery 上拉加载
  6. 全程图解交换机和路由器的应用
  7. 《Hadoop MapReduce实战手册》一1.4 给WordCount MapReduce程序增加combiner步骤
  8. 如何在AS/400上发送带有颜色的MESSAGE
  9. Windows Phone 8安装包中的文件和独立存储区中的文件访问
  10. 让电脑替你说：＂I IOVE YOU＂
  11. STM32.SPI（25Q16）
  12. Atitit mybatis快速开发 的sql api接口
  13. android web service视频教程,需要一个简单的android / webservice工作教程？
  14. python reportlab
  15. 原创|批处理实现安卓设备自动重启压力测试(自动生成日志和计算重启时间)
  16. 计网习题总结，附答案
  17. 【MES】工业4.0之MES系统方案
  18. 机器学习之决策树实践：隐形眼镜类型预测
  19. Raspberry Pi Pico SDK开发-PIO介绍
  20. android 蓝牙串口自动断开,uni-app 蓝牙连接被自动断开问题

热门文章

  1. qmail 反垃圾邮件
  2. zt:tcpdump抓包对性能的影响
  3. PowerDesigner 15生成数据字典
  4. 电商商城系统活动设计
  5. WebGIS中解决使用Lucene进行兴趣点搜索排序的两种思路
  6. WINDOWS操作系统中可以允许最大的线程数
  7. Cisco ××× troubleshooting
  8. SpringCloud Hystrix的超时时间配置以及监控平台搭建
  9. python optimize_Python的五大常用库——numpy,pandas,matplotlib等
  10. 第二章--电商设计表订单实体-电商项目