1. Cert模式长安链介绍

1.1. 适用场景说明

在长安链2.X版本中, 我们实现了三种身份权限管理模型：

PermissionedWithCert：基于数字证书的用户标识体系、基于角色的权限控制体系;
PermissionedWithKey：基于公钥的用户标识体系、基于角色的权限控制体系。
Public：基于公钥的用户标识体系、基于角色的权限控制体系。

其中，PermissionedWithCert和PermissionedWithKey模式面向强权限控制场景(联盟链)，Public模式面向弱权限控制场景(公链)

1.1.1. 不同链账户模式对比

对比项\身份模式	PermissionWithCert	Public	PermissionWithKey
模式名称	证书模式	公钥模式	公钥注册模式
模式简称	cert模式	pk模式	pwk模式
账户类型	节点账户(共识节点、同步节点、轻节点), 用户账户(管理员、普通用户)	节点账户(共识节点), 用户账户(管理员、普通用户)	同证书模式
账户标识	数字证书	公钥/地址	公钥/地址
是否需要准入	是，证书需要CA签发	否，普通用户可直接调用合约	是，账户需要管理员在链上注册
账户与组织关系	账户属于某个组织	账户无组织概念	账户属于某个组织
共识算法	TBFT、RAFT、MaxBFT	TBFT、DPOS	TBFT、RAFT
适用场景	联盟链	公链	联盟链

在PermissionWithCert（数字证书）账户模式下，一条链由多个组织构成，每个组织在创世块（bc.yml)中的trust roots 字段定义组织根证书。拥有某根组织证书颁发的合法节点证书的节点，即可加入网络，拥有某根组织颁发的合法用户证书的用户，则被视为该链的用户。一个组织可以有多个节点和用户，如下图所示：

1.2. 账户角色与权限说明

1.2.1. 角色类型

长安链中，定义了以下几种角色类型：

共识节点 consensus：有权参与区块共识流程的链上节点；
同步节点common：无权参与区块共识流程，但可在链上同步数据的节点；
管理员 admin：可代表组织进行链上治理的用户；
普通用户 client：无权进行链上治理，但可发送和查询交易的用户；
轻节点用户light：无权进行链上治理，无权发送交易，只可查询、订阅自己组织的区块、交易数据，属于SPV轻节点用户（详情见轻节点）。

1.2.2. 权限说明

长安链2.X中，PermissionedWithCert模式采用了基于角色的权限控制模型，如下图所示。具体来说，需将用户绑定到某一组织的一个或多个角色上，再将链上资源（即链上需要进行权限管理的操作）绑定至特定的组织、角色，即可完成资源和用户的关联。

权限管理及修改可参考：权限管理

1.3. 链配置文件说明

1.3.1. 创世块配置文件说明

配置文件：bc.yml

auth_type：身份模式

permissionedWithCert：面向强权限控制场景，基于数字证书的用户标识体系、基于角色的权限控制体系。

consensus：共识配置
- nodes：共识节点列表
  - org_id：组织id
  - node_id：共识节点id列表，是由共识节点TLS证书里的公钥算出的唯一id
trust_roots：信任根配置列表
- org_id：组织id
- root：组织CA证书所在路径列表

1.3.2. 创世块配置文件示例

chain_id: chain1                    # 链标识
version: v1.0.0                     # 链版本
sequence: 0                         # 配置版本
auth_type: "permissionedWithCert"   # 认证类型

crypto:
  hash: SHA256

# 合约支持类型的配置
contract:
  enable_sql_support: false

# 虚拟机配置
vm:
  # 虚拟机支持列表
  support_list:
    - "wasmer"
    - "gasm"
    - "evm"
    - "wxvm"

# 交易、区块相关配置
block:
  tx_timestamp_verify: true # 是否需要开启交易时间戳校验
  tx_timeout: 600  # 交易时间戳的过期时间(秒)
  block_tx_capacity: 100  # 区块中最大交易数
  block_size: 10  # 区块最大限制，单位MB
  block_interval: 2000 # 出块间隔，单位:ms

# core模块
core:
  tx_scheduler_timeout: 10 #  [0, 60] 交易调度器从交易池拿到交易后, 进行调度的时间
  tx_scheduler_validate_timeout: 10 # [0, 60] 交易调度器从区块中拿到交易后, 进行验证的超时时间
  consensus_turbo_config:
    consensus_message_turbo: true # 是否开启共识报文压缩
    retry_time: 500 # 根据交易ID列表从交易池获取交易的重试次数
    retry_interval: 20 # 重试间隔，单位:ms

#共识配置
consensus:
  # 共识类型(0-SOLO,1-TBFT,2-MBFT,3-HOTSTUFF,4-RAFT,5-DPOS)
  type: 1
  # 共识节点列表，组织必须出现在trust_roots的org_id中，每个组织可配置多个共识节点，节点地址采用libp2p格式
  nodes:
    - org_id: "wx-org1.chainmaker.org"
      node_id:
        - "QmcQHCuAXaFkbcsPUj7e37hXXfZ9DdN7bozseo5oX4qiC4"
    - org_id: "wx-org2.chainmaker.org"
      node_id:
        - "QmeyNRs2DwWjcHTpcVHoUSaDAAif4VQZ2wQDQAUNDP33gH"
    - org_id: "wx-org3.chainmaker.org"
      node_id:
        - "QmXf6mnQDBR9aHauRmViKzSuZgpumkn7x6rNxw1oqqRr45"
    - org_id: "wx-org4.chainmaker.org"
      node_id:
        - "QmRRWXJpAVdhFsFtd9ah5F4LDQWFFBDVKpECAF8hssqj6H"
        
  ext_config: # 扩展字段，记录难度、奖励等其他类共识算法配置
    - key: aa
      value: chain01_ext11

# 信任组织和根证书
trust_roots:
  - org_id: "wx-org1.chainmaker.org"
    root:
      - "../config/wx-org1/certs/ca/wx-org1.chainmaker.org/ca.crt"
  - org_id: "wx-org2.chainmaker.org"
    root:
      - "../config/wx-org2/certs/ca/wx-org2.chainmaker.org/ca.crt"
  - org_id: "wx-org3.chainmaker.org"
    root:
      - "../config/wx-org3/certs/ca/wx-org3.chainmaker.org/ca.crt"
  - org_id: "wx-org4.chainmaker.org"
    root:
      - "../config/wx-org4/certs/ca/wx-org4.chainmaker.org/ca.crt"

# 权限配置（只能整体添加、修改、删除）
resource_policies:
  - resource_name: CHAIN_CONFIG-NODE_ID_UPDATE
    policy:
      rule: SELF # 规则（ANY，MAJORITY...，全部大写，自动转大写）
      org_list: # 组织名称（组织名称，区分大小写）
      role_list: # 角色名称（role，自动转大写）
        - admin
  - resource_name: CHAIN_CONFIG-TRUST_ROOT_ADD
    policy:
      rule: MAJORITY
      org_list:
      role_list:
        - admin
  - resource_name: CHAIN_CONFIG-CERTS_FREEZE
    policy:
      rule: ANY
      org_list:
      role_list:
        - admin
        
disabled_native_contract:
 # - CONTRACT_NAME  # 通过指定系统合约名字来禁用系统合约

1.3.3. 节点配置文件说明

配置文件：chainmaker.yml

auth_type：身份模式

permissionedWithCert：面向强权限控制场景，基于数字证书的用户标识体系、基于角色的权限控制体系。
node：节点配置
- priv_key_file：节点SIGN证书的私钥地址
- cert_file：节点SIGN证书的地址
net：网络配置
- tls：TLS配置
  - priv_key_file：节点TLS证书的私钥地址
  - cert_file：节点TLS证书的地址

1.3.4. 节点配置文件示例

auth_type: "permissionedWithCert"      # permissionedWithCert / permissionedWithKey / public

log:
  config_file: ../config/wx-org1/log.yml          # config file of logger configuration.

blockchain:
  - chainId: chain1
    genesis: ../config/wx-org1/chainconfig/bc1.yml

node:
  # 节点类型：full
  type:              full
  org_id:            wx-org1.chainmaker.org
  priv_key_file:     ../config/wx-org1/certs/node/consensus1/consensus1.sign.key
  cert_file:         ../config/wx-org1/certs/node/consensus1/consensus1.sign.crt
  signer_cache_size: 1000
  cert_cache_size:   1000

net:
  provider: LibP2P
  listen_addr: /ip4/0.0.0.0/tcp/11301
  seeds:
    - "/ip4/127.0.0.1/tcp/11301/p2p/QmcQHCuAXaFkbcsPUj7e37hXXfZ9DdN7bozseo5oX4qiC4"
    - "/ip4/127.0.0.1/tcp/11302/p2p/QmNdgWgD2QSu769yCwFCnwhVKhjWzyjA3PgSXL7ZJBrUoA"
    - "/ip4/127.0.0.1/tcp/11303/p2p/QmXf6mnQDBR9aHauRmViKzSuZgpumkn7x6rNxw1oqqRr45"
    - "/ip4/127.0.0.1/tcp/11304/p2p/QmRRWXJpAVdhFsFtd9ah5F4LDQWFFBDVKpECAF8hssqj6H"
  tls:
    enabled: true
    priv_key_file: ../config/wx-org1/certs/node/consensus1/consensus1.tls.key
    cert_file:     ../config/wx-org1/certs/node/consensus1/consensus1.tls.crt

txpool:
  max_txpool_size: 5120 # 普通交易池上限
  max_config_txpool_size: 10 # config交易池的上限
  full_notify_again_time: 30 # 交易池溢出后，再次通知的时间间隔(秒)

rpc:
  provider: grpc
  port: 12301
  tls:
    # TLS模式:
    #   disable - 不启用TLS
    #   oneway  - 单向认证
    #   twoway  - 双向认证
    #mode: disable
    #mode: oneway
    mode:           twoway
    priv_key_file:  ../config/wx-org1/certs/node/consensus1/consensus1.tls.key
    cert_file:      ../config/wx-org1/certs/node/consensus1/consensus1.tls.crt

monitor:
  enabled: false
  port: 14321

pprof:
  enabled: false
  port: 24321

storage:
  store_path: ../data/org1/ledgerData1
  blockdb_config:
    provider: leveldb
    leveldb_config:
      store_path: ../data/org1/blocks
      write_buffer_size: 1024
      block_write_buffer_size: 1024
  statedb_config:
    provider: leveldb
    leveldb_config:
      store_path: ../data/org1/state
  historydb_config:
    provider: leveldb
    leveldb_config:
      store_path: ../data/org1/history
  resultdb_config:
    provider: leveldb
    leveldb_config:
      store_path: ../data/org1/result
  disable_contract_eventdb: true  #是否禁止合约事件存储功能，默认为true，如果设置为false,需要配置mysql
  contract_eventdb_config:
    provider: sql                 #如果开启contract event db 功能，需要指定provider为sql
    sqldb_config:
      sqldb_type: mysql           #contract event db 只支持mysql
      dsn: root:password@tcp(127.0.0.1:3306)/  #mysql的连接信息，包括用户名、密码、ip、port等，示例：root:admin@tcp(127.0.0.1:3306)/
debug:
  # 是否开启CLI功能，过度期间使用
  is_cli_open: true
  is_http_open: false