MSP(Membership Service Provider)成员管理服务提供商

名词:

1。CSR(Cerificate Signing Request)：证书签署请求文件

CSR 里包含申请者的 DN（Distinguished Name，标识名）和公钥信息（在第三方机构签署证书时要提供）。

证书颁发机构拿到 CSR 后使用其根证书私钥对证书进行加密并生成 CRT 证书文件，里面包含证书加密信息、申请者的 DN 、公钥信息。

一。概述

说明：

MSP 是 Hyperledger Fabric1.0 引入的一个组件。目的：抽象化各成员之间的控制结构关系。（MSP 将证书颁发/用户认证/后台加密机制和协议都进行了抽象）

每个 MSP 可定义自己规则：身份认证/签名的生成/认证。

每个 Hyperledger Fabric 1.0 区块链网络可引入一个/多个 MSP 来进行网络管理。（即将成员本身和成员间操作、规则、流程都模块化）

1。成员身份是基于标准的 x.509 证书。利用 PKI 体系为每个成员颁发数字证书。结合所属 MSP 进行身份认证和权限控制。

2。根 CA 证书（Root Certificate）：

【1】自签名证书

【2】用根 CA 证书私钥签名的证书还可签发新的证书

3。中间 CA 证书（Intermediate Certificate）

【1】由其他 CA 证书签发

【2】用中间 CA 证书私钥签名的证书还可签发新的证书

签发证书是一个“信任背书”的过程。从根 CA 证书-》最终用户证书（构成一个“证书信任链”）

4。PKI 体系可利用“CRL（Certificate Revocation List）”/“OCSP(Online Certificate Status Protocal)”管理证书有效性

【1】MSP 标识检查（身份证书都是和 MSP 绑定的，必须有相同的 MSP 标识才能验证证书的有效性）

【2】证书路径检查（主要证书路径[从用户证书-》根 CA 证书路径]）

【3】CRL 检查（主要检查证书是否被吊销，目前仅支持 CRL 不支持 OCSP）

二。生成 MSP 证书

说明：

OpenSSL 可生成 X.509 证书，但在 Hyperledger Fabric1.0 中不支持包含 RSA 密钥的证书。

下述采用 cryptogen 工具来生成 MSP 证书：

//下载 fabric 源码
cd /opt/gopath/src/github.com/hyperledger
git clone https://github.com/hyperledger/fabric.git

//查看当前分支 release1.3，切换分支为 1.0
git branch  #当前分支
git branch -r #查看所有分支
git checkout origin/release-1.0  #切换分支

//生成 MSP 证书工具在目录 e2e_cli 目录下
cd examples/e2e_cli

//调用 e2e 的工具生成证书
./generateArtifacts.sh

注：命令执行成功后，会在 e2e_cli 目录下产生文件夹 crypto-config。
在这个 MSP 中配置了两个组织（org1/org2）
每个组织下有两个 peer 节点（peer0/peer1）：排序服务节点/CA 节点