超级账本中 cryptogen和Fabric CA证书互通问题

本文以Fabric 1.4.6为例，简单介绍一下cryptogen和Fabric CA证书互通问题。在Fabric 中 启用一个测试网络最快捷的办法就是运行first-network中的./byfn.sh up（2.0.0版本以上使用test-network替代了first-network，这里使用方法类似，不讲）。然而使用脚本时默认使用cryptogen工具生成身份，但使用该工具生成的账号（证书）数量是固定的。虽然可以更改crypto-config.yaml中的设置，将额外的用户数量改成大于1的数字。但这个更改是发生在网络启动前，一旦网络启动后就没法更改了。因此我们还是需要一种可以动态添加用户的机制，这里就轮到CA 出场了。

准备工作，根据官方文档Install Samples, Binaries, and Docker Images安装好官方原版 Fabric 1.4.6 、Fabric Samples 1.4.6 和Fabric CA 1.4.2。

小提示：也可以自己编写脚本，直接使用CA而不是cryptogen生成身份后再启动网络（参见2.0.0以上版本的fabric-samples），这样就不会涉及到互通问题。但是本文主要是为了讲互通的问题，所以我们还是使用Fabric 1.4.6版本。

一、启动测试网络和CA

使用CA发行身份需要启动CA服务器，可以手动使用命令启动，也可以使用byfn.sh脚本来启动一个docker container，我们采用脚本的方式，这样工作最小化。

切换到fabric-samples下的first-network目录，运行下面的脚本：

./byfn.sh down
./byfn.sh up -a

这里的-a选项是启动网络时同时启动一个CA，具体看byfn.sh脚本最开始的介绍。

网络部署完成后会有提示，这时我们查看一下运行的容器：

➜  fabric-samples git:(337f82c) ✗ docker ps -a
CONTAINER ID        IMAGE                                                                                                  COMMAND                  CREATED             STATUS                      PORTS                              NAMES
63334fdbdd15        dev-peer0.org2.example.com-mycc-1.0-15b571b3ce849066b7ec74497da3b27e54e0df1345daff3951b94245ce09c42b   "chaincode -peer.add…"   43 minutes ago      Up 43 minutes                                                  dev-peer0.org2.example.com-mycc-1.0
7e2df103a97c        dev-peer0.org1.example.com-mycc-1.0-384f11f484b9302df90b453200cfb25174305fce8f53f4e94d45ee3b6cab0ce9   "chaincode -peer.add…"   46 minutes ago      Up 46 minutes                                                  dev-peer0.org1.example.com-mycc-1.0
27c9e9e18e16        dev-peer1.org2.example.com-mycc-1.0-26c2ef32838554aac4f7ad6f100aca865e87959c9a126e86d764c8d01f8346ab   "chaincode -peer.add…"   15 hours ago        Exited (0) 55 minutes ago                                      dev-peer1.org2.example.com-mycc-1.0
3f4f0dbc9c9e        hyperledger/fabric-tools:latest                                                                        "/bin/bash"              15 hours ago        Up 55 minutes                                                  cli
fb080f3a877c        hyperledger/fabric-ca:latest                                                                           "sh -c 'fabric-ca-se…"   15 hours ago        Up 55 minutes               0.0.0.0:7054->7054/tcp             ca_peerOrg1
98be2c8c32b7        hyperledger/fabric-peer:latest                                                                         "peer node start"        15 hours ago        Up 55 minutes               0.0.0.0:7051->7051/tcp             peer0.org1.example.com
3f36dbf02ed1        hyperledger/fabric-peer:latest                                                                         "peer node start"        15 hours ago        Up 55 minutes               0.0.0.0:8051->8051/tcp             peer1.org1.example.com
789e6006049a        hyperledger/fabric-orderer:latest                                                                      "orderer"                15 hours ago        Up 55 minutes               0.0.0.0:7050->7050/tcp             orderer.example.com
1a4e27bc675f        hyperledger/fabric-peer:latest                                                                         "peer node start"        15 hours ago        Up 55 minutes               0.0.0.0:10051->10051/tcp           peer1.org2.example.com
7f4adb26061e        hyperledger/fabric-ca:latest                                                                           "sh -c 'fabric-ca-se…"   15 hours ago        Up 55 minutes               7054/tcp, 0.0.0.0:8054->8054/tcp   ca_peerOrg2
87c6b79f7292        hyperledger/fabric-peer:latest                                                                         "peer node start"        15 hours ago        Up 55 minutes               0.0.0.0:9051->9051/tcp             peer0.org2.example.com
➜  fabric-samples git:(337f82c) ✗ 

从NAMES中我们可以看到，我们启动了两个组织的CA服务器容器，端口分别为7054和8054，对应org1和org2。本文的工作就是使用org1的CA来增加一个User2。

让我们来看一下生成身份后的对应部分的目录结构，主要看User1的：

可以看到我们生成了一个组织管理员Admin和一个用户User1，现在让我们在不重新启动网络的情况下生成一个用户User2。

二、建立Fabric CA客户端

为了方便，我们就在fabric-samples目录进行操作。运行下面的命令切换到fabric-samples目录并且建立一个工作目录：

cd ..
mkdir fabric_ca_test
cd fabric_ca_test
cp ../bin/fabric-ca-client ./

可以看到我们将fabric-ca-client这个Fabric CA的客户端工具复制到了本目录。因为脚本启动CA时默认开启了TLS，所以我们需要CA Server的TLS 证书。在 first-network目录下的docker-compose-ca.yaml中可以看到该证书路径：
- FABRIC_CA_SERVER_TLS_CERTFILE=/etc/hyperledger/fabric-ca-server-config/ca.org1.example.com-cert.pem。注意，这是一个虚拟目录，真实目录是在volumes中映射的：

volumes:
  - ./crypto-config/peerOrganizations/org1.example.com/ca/:/etc/hyperledger/fabric-ca-server-config

这里根据证书的格式还可以看出该CA的域名为: ca.org1.example.com。

这里还需要注意的一个环境变量设置为- FABRIC_CA_SERVER_TLS_KEYFILE=/etc/hyperledger/fabric-ca-server-config/${BYFN_CA1_PRIVATE_KEY} 。它将Fabric CA Server的私钥设置成了cryptogen工具生成的私钥。私钥相同，生成的证书才是一致的，这是不同工具生成的证书互通的前提。

运行下面的命令来复制这个TLS证书：

mkdir tls-root-cert
cp ../first-network/crypto-config/peerOrganizations/org1.example.com/ca/ca.org1.example.com-cert.pem tls-root-cert/tls-ca-cert.pem

可以看到为方便使用，我们同时将该文件改名了。

现在我们已经有客户端和TLS证书了，我们可以向CA Server请求来发行身份了。

三、发行CA引导用户

发行身份的第一步是发行引导用户（相当于CA的管理员，不是组织管理员），引导用户的账号密码在启动CA Server时就确定了，参见docker-compose-ca.yaml中的启动命令：
command: sh -c 'fabric-ca-server start --ca.certfile /etc/hyperledger/fabric-ca-server-config/ca.org1.example.com-cert.pem --ca.keyfile /etc/hyperledger/fabric-ca-server-config/${BYFN_CA1_PRIVATE_KEY} -b admin:adminpw -d'

具体CA的使用可以阅读官方文档 ，这里不解释了。从上面的命令可以看到，引导用户的用户名为admin，密码为adminpw。

前面提到了，CA的域名为: ca.org1.example.com，因为我们这里无法没有服务器端配置文件 ，所以无法使用localhost，还需要在/etc/hosts中添加一个127.0.0.1 到 ca.org1.example.com的解析。

运行下面的命令来发行引导用户：

export FABRIC_CA_CLIENT_HOME=$PWD
./fabric-ca-client enroll -u https://admin:[email protected]:7054 --tls.certfiles tls-root-cert/tls-ca-cert.pem --csr.hosts localhost --mspdir admin/msp

你会得到类似的输出结果：

2020/08/22 12:05:43 [INFO] Created a default configuration file at /Users/likai/fabric/fabric-samples/fabric_ca_test/fabric-ca-client-config.yaml
2020/08/22 12:05:43 [INFO] TLS Enabled
2020/08/22 12:05:43 [INFO] generating key: &{A:ecdsa S:256}
2020/08/22 12:05:43 [INFO] encoded CSR
2020/08/22 12:05:43 [INFO] Stored client certificate at /Users/likai/fabric/fabric-samples/fabric_ca_test/admin/msp/signcerts/cert.pem
2020/08/22 12:05:43 [INFO] Stored root CA certificate at /Users/likai/fabric/fabric-samples/fabric_ca_test/admin/msp/cacerts/ca-org1-example-com-7054.pem
2020/08/22 12:05:43 [INFO] Stored Issuer public key at /Users/likai/fabric/fabric-samples/fabric_ca_test/admin/msp/IssuerPublicKey
2020/08/22 12:05:43 [INFO] Stored Issuer revocation public key at /Users/likai/fabric/fabric-samples/fabric_ca_test/admin/msp/IssuerRevocationPublicKey

表明引导用户发行成功了，相关信息位于admin/msp目录下。

四、使用引导用户注册和发行User2

1、注册

发行身份前必须先注册，运行下面的命令注册：

./fabric-ca-client register --id.name User2 --id.secret User2pw --tls.certfiles tls-root-cert/tls-ca-cert.pem --mspdir admin/msp/

会有类似如下输出：

2020/08/22 12:09:39 [INFO] Configuration file location: /Users/likai/fabric/fabric-samples/fabric_ca_test/fabric-ca-client-config.yaml
2020/08/22 12:09:39 [INFO] TLS Enabled
2020/08/22 12:09:39 [INFO] TLS Enabled
Password: User2pw

2、发行

使用刚才注册的用户名和密码来发行身份:

./fabric-ca-client enroll -u https://User2:[email protected]:7054 --tls.certfiles tls-root-cert/tls-ca-cert.pem --csr.hosts localhost --mspdir users/User2/msp

会有类似如下输出 ：

2020/08/22 12:13:13 [INFO] TLS Enabled
2020/08/22 12:13:13 [INFO] generating key: &{A:ecdsa S:256}
2020/08/22 12:13:13 [INFO] encoded CSR
2020/08/22 12:13:13 [INFO] Stored client certificate at /Users/likai/fabric/fabric-samples/fabric_ca_test/users/User2/msp/signcerts/cert.pem
2020/08/22 12:13:13 [INFO] Stored root CA certificate at /Users/likai/fabric/fabric-samples/fabric_ca_test/users/User2/msp/cacerts/ca-org1-example-com-7054.pem
2020/08/22 12:13:13 [INFO] Stored Issuer public key at /Users/likai/fabric/fabric-samples/fabric_ca_test/users/User2/msp/IssuerPublicKey
2020/08/22 12:13:13 [INFO] Stored Issuer revocation public key at /Users/likai/fabric/fabric-samples/fabric_ca_test/users/User2/msp/IssuerRevocationPublicKey

我们可以使用tree命令来查看刚才生成的目录结构：

 tree users/User2/

生成的结构如下:

users/User2/
└── msp
    ├── IssuerPublicKey
    ├── IssuerRevocationPublicKey
    ├── cacerts
    │   └── ca-org1-example-com-7054.pem
    ├── keystore
    │   └── 6f097b265f17e3bcab411a9ea3e328c62e851f9948ad4af7298d4e57535cb471_sk
    ├── signcerts
    │   └── cert.pem
    └── user

5 directories, 5 files

我们的User2已经生成了，此时可以对比一下vscode中User1的目录结构，发现还是有些区别的。我们下一步就是将新发行的User2的证书和密钥复制到first-network中对应的目录结构中。

五、添加User2到first-network

运行下面命令，将User1的目录结构复制到User2中去：

cd ../first-network/crypto-config/peerOrganizations/org1.example.com/users/
mkdir [email protected]
cd [email protected]
cp -r ../[email protected]/tls ./
cp -r ../[email protected]/msp ./
rm -f msp/keystore/*

这里选择y，删除User1的密钥，然后接着运行:

rm -f msp/signcerts/*

同样选择y，删除User1的证书。

我们将User2的密钥和证书复制过来：

cp ../../../../../../fabric_ca_test/users/User2/msp/keystore/* msp/keystore/
cp ../../../../../../fabric_ca_test/users/User2/msp/signcerts/cert.pem  msp/signcerts/[email protected]

最后我们复制User2的CA根证书（可以省略）

cp ../../../../../../fabric_ca_test/users/User2/msp/cacerts/ca-org1-example-com-7054.pem msp/cacerts/ca.org1.example.com-cert.pem

这里为什么可以省略呢，因为目标文件已经存在了，它是从User1中复制的。因为我们两种方式cryptogen和Fabric CA使用了同一个私钥，所以证书的信任根肯定是相同的，不然没有办法互通。有兴趣的读者可以检查一下，最后复制的源文件和目标文件内容是否完全一致，如果不一致就说明哪里出错了。

到这里我们的新用户User2就发行成功了。

这里有一个笔者遇到的坑，就是注册User2时，不要指定--id.type，让它默认为client就好。

六、测试

测试这里稍微复杂一点，涉及到fabric-sdk-go的应用。但这里有一篇文章可以参考一下：使用fabric-sdk-go操作链码 。可以将源码中（不是配置文件中）使用Admin的地方替换为User1和User2进行测试。这里笔者写了一个简单的测试文件main.go，但是go mod init 及配置文件需要读者自己去弄了。

package main

import (
	"fmt"
	"log"

	"github.com/hyperledger/fabric-sdk-go/pkg/client/channel"
	"github.com/hyperledger/fabric-sdk-go/pkg/core/config"
	"github.com/hyperledger/fabric-sdk-go/pkg/fabsdk"
)

const (
	org1CfgPath = "./config.yaml"
	ChannelID   = "mychannel"

	peer0Org1 = "peer0.org1.example.com"
	peer0Org2 = "peer0.org2.example.com"
)

func main() {
	sdk, err := fabsdk.New(config.FromFile(org1CfgPath))
	if err != nil {
		log.Panicf("failed to create fabric sdk: %s", err)
	}
	ccp := sdk.ChannelContext(ChannelID, fabsdk.WithUser("User2"))
	cc, err := channel.New(ccp)
	if err != nil {
		log.Panicf("failed to create channel client: %s", err)
	}
	fmt.Println("channel init over")
	query(cc)
	// execute(cc)
	// time.Sleep(5 * time.Second)
	// query(cc)
}

func query(cc *channel.Client) {
	// new channel request for query
	req := channel.Request{
		ChaincodeID: "mycc",
		Fcn:         "query",
		Args:        packArgs([]string{"a"}),
	}
	// send request and handle response
	reqPeers := channel.WithTargetEndpoints(peer0Org1)

	response, err := cc.Query(req, reqPeers)
	if err != nil {
		fmt.Printf("failed to query chaincode: %s\n", err)
	}

	if len(response.Payload) > 0 {
		fmt.Printf("chaincode query success,the value is %s\n", string(response.Payload))
	}
}

func execute(cc *channel.Client) {
	args := packArgs([]string{"a", "b", "10"})
	req := channel.Request{
		ChaincodeID: "mycc",
		Fcn:         "invoke",
		Args:        args,
	}
	peers := []string{peer0Org1, peer0Org2}
	reqPeers := channel.WithTargetEndpoints(peers...)
	response, err := cc.Execute(req, reqPeers)
	if err != nil {
		fmt.Printf("failed to Execute chaincode: %s\n", err)
	}
	fmt.Printf("Execute chaincode success,txId:%s\n", response.TransactionID)
}

func packArgs(paras []string) [][]byte {
	var args [][]byte
	for _, k := range paras {
		args = append(args, []byte(k))
	}
	return args
}

我们可以将ccp := sdk.ChannelContext(ChannelID, fabsdk.WithUser("User2"))中间的"User2"换成"User1"或者"Admin"，它都是可以运行的。
运行:

go run main.go

将会得到类似下面的结果

channel init over
chaincode query success,the value is 90

注释掉的代码是用来执行链码的，有兴趣的读者可以取消注释了测试一下。

好了，测试完成，我们使用CA新生成的用户是可以在不改变网络的情况下直接使用的。

欢迎大家指出文章中存在的问题或留言讨论。