16. PWK模式长安链介绍

16.1. 适用场景说明

在长安链2.X版本中, 我们实现了三种身份权限管理模型:

  • PermissionedWithCert:基于数字证书的用户标识体系、基于角色的权限控制体系;

  • PermissionedWithKey:基于公钥的用户标识体系、基于角色的权限控制体系。

  • Public:基于公钥的用户标识体系、基于角色的权限控制体系。

其中,PermissionedWithCert和PermissionedWithKey模式面向强权限控制场景(联盟链),Public模式面向弱权限控制场景(公链)

16.1.1. 不同链账户模式对比

对比项\身份模式 PermissionWithCert Public PermissionWithKey
模式名称 证书模式 公钥模式 公钥注册模式
模式简称 cert模式 pk模式 pwk模式
账户类型 节点账户(共识节点、同步节点、轻节点), 用户账户(管理员、普通用户) 同证书模式 同证书模式
账户标识 数字证书 公钥/地址 公钥/地址
是否需要准入 是,证书需要CA签发 否,普通用户可直接调用合约 是,账户需要管理员在链上注册
账户与组织关系 账户属于某个组织 账户无组织概念 账户属于某个组织
共识算法 TBFT、RAFT、MaxBFT TBFT、DPOS TBFT、RAFT
适用场景 联盟链 公链 联盟链

在PermissionWithKey(准入型公钥)账户模式下,一条链由多个组织构成,每个组织在创世块(bc.yml)中的trust roots 字段定义组织,以及组织对应的管理员链账户地址。

新部署的节点需要管理员账户将至登记到相应的组织名下,才可加入网络。普通用户虽然可以自己创建链账户,但是需要管理员账户,将链账户地址登记到对应的组织名下,才被认为是合法的链账户。

一个组织可以有多个节点和用户,如下图所示:

16.2. 账户角色与权限说明

16.2.1. 角色类型

长安链中,定义了以下几种角色类型:

  • 共识节点 consensus:有权参与区块共识流程的链上节点;

  • 同步节点common:无权参与区块共识流程,但可在链上同步数据的节点;

  • 管理员 admin:可代表组织进行链上治理的用户;

  • 普通用户 client:无权进行链上治理,但可发送和查询交易的用户;

  • 轻节点用户light:无权进行链上治理,无权发送交易,只可查询、订阅自己组织的区块、交易数据,属于SPV轻节点用户(详情见轻节点)。

16.2.2. 权限说明

权限标识方法:采用公钥的标识方式,能够避免像数字证书体系那样繁琐的签发流程,使用户加入区块链网络更加简单快捷,但无法承载用户或节点的组织信息以及角色信息。

权限管理及修改可参考:权限管理

16.3. 链配置文件说明

16.3.1. 创世块配置文件说明

配置文件:bc.yml

  • auth_type:身份模式

    permissionedWithKey:面向强权限控制场景,基于公钥的用户标识体系、基于角色的权限控制体系。

  • consensus:共识配置

    • nodes:共识节点列表

      • org_id:组织id

      • node_id:共识节点id列表,是由共识节点公钥算出的唯一id

  • trust_roots:信任根配置列表

    • org_id:组织id

    • root:组织管理员用户公钥所在路径列表

16.3.1.1. 链配置文件示例

chain_id: chain1                      # 链标识
version: v1.0.0                       # 链版本
sequence: 0                           # 配置版本
auth_type: "permissionedWithKey"      # 认证类型 permissionedWithCert / permissionedWithKey / public

crypto:
  hash: SHA256

# 合约支持类型的配置
contract:
  enable_sql_support: false

# 交易、区块相关配置
block:
  tx_timestamp_verify: true # 是否需要开启交易时间戳校验
  tx_timeout: 600  # 交易时间戳的过期时间(秒)
  block_tx_capacity: 100  # 区块中最大交易数
  block_size: 10  # 区块最大限制,单位MB
  block_interval: 2000 # 出块间隔,单位:ms

# core模块
core:
  tx_scheduler_timeout: 10 #  [0, 60] 交易调度器从交易池拿到交易后, 进行调度的时间
  tx_scheduler_validate_timeout: 10 # [0, 60] 交易调度器从区块中拿到交易后, 进行验证的超时时间
  consensus_turbo_config:
    consensus_message_turbo: false # 是否开启共识报文压缩
    retry_time: 500 # 根据交易ID列表从交易池获取交易的重试次数
    retry_interval: 20 # 重试间隔,单位:ms


#共识配置
consensus:
  # 共识类型(0-SOLO,1-TBFT,2-MBFT,3-HOTSTUFF,4-RAFT,5-DPOS)
  type: 1
  # 共识节点列表,组织必须出现在trust_roots的org_id中,每个组织可配置多个共识节点,节点地址采用libp2p格式
  nodes:
    - org_id: "wx-org1.chainmaker.org"
      node_id:
        - "QmZcFcJFYYoZ3FNNGL88QaszUZwFwuBdFqYh6yPzJURc3s"
    - org_id: "wx-org2.chainmaker.org"
      node_id:
        - "QmXwtuPemSgH5ypzoKvcLdCLbd9jZ25FbpNf7VPjHF3HMS"
    - org_id: "wx-org3.chainmaker.org"
      node_id:
        - "QmRmQLHJoqAYGkuLFaNY6HLzwtTNxr45UJsYpSjdKvBQw2"
    - org_id: "wx-org4.chainmaker.org"
      node_id:
        - "QmURUHTGsuzzjgh1Xg6s92G1Q3gK91A6JEZGPfYNWwJMiT"
  ext_config: # 扩展字段,记录难度、奖励等其他类共识算法配置
    - key: aa
      value: chain01_ext11

# 信任组织和管理员公钥
trust_roots:
  - org_id: "wx-org1.chainmaker.org"
    root:
      - "../config-pk/permissioned-with-key/wx-org1/public-key/admin/wx-org1.chainmaker.org/admin.pem"
  - org_id: "wx-org2.chainmaker.org"
    root:
      - "../config-pk/permissioned-with-key/wx-org1/public-key/admin/wx-org2.chainmaker.org/admin.pem"
  - org_id: "wx-org3.chainmaker.org"
    root:
      - "../config-pk/permissioned-with-key/wx-org1/public-key/admin/wx-org3.chainmaker.org/admin.pem"
  - org_id: "wx-org4.chainmaker.org"
    root:
      - "../config-pk/permissioned-with-key/wx-org1/public-key/admin/wx-org4.chainmaker.org/admin.pem"

# 权限配置(只能整体添加、修改、删除)
resource_policies:
  - resource_name: CHAIN_CONFIG-NODE_ID_UPDATE
    policy:
      rule: SELF # 规则(ANY,MAJORITY...,全部大写,自动转大写)
      org_list: # 组织名称(组织名称,区分大小写)
      role_list: # 角色名称(role,自动转大写)
        - admin
  - resource_name: CHAIN_CONFIG-TRUST_ROOT_ADD
    policy:
      rule: MAJORITY
      org_list:
      role_list:
        - admin
  - resource_name: CHAIN_CONFIG-CERTS_FREEZE
    policy:
      rule: ANY
      org_list:
      role_list:
        - admin

16.3.2. 节点配置文件说明

配置文件:chainmaker.yml

  • auth_type:身份模式

    permissionedWithKey:面向强权限控制场景,基于公钥的用户标识体系、基于角色的权限控制体系。

  • node:节点配置

    • priv_key_file:节点私钥地址

    • cert_file:不需要配置

  • net:网络配置

    • tls:TLS配置

      • priv_key_file:节点私钥地址

      • cert_file:不需要配置

注:node和net里需要配置同一个私钥的地址

16.3.2.1. 节点配置文件示例

auth_type: "permissionedWithKey"                                   # permissionedWithCert / permissionedWithKey / public

log:
  config_file: ../config-pk/permissioned-with-key/wx-org1/log.yml          # config file of logger configuration.

blockchain:
  - chainId: chain1
    genesis: ../config-pk/permissioned-with-key/wx-org1/chainconfig/bc1.yml

node:
  # 节点类型:full
  type:              full
  org_id:            wx-org1.chainmaker.org
  priv_key_file:     ../config-pk/permissioned-with-key/wx-org1/public-key/node/consensus1/consensus1.key
  signer_cache_size: 1000
  cert_cache_size:   1000

net:
  provider: liquid
  listen_addr: /ip4/0.0.0.0/tcp/11351
  seeds:
    - "/ip4/127.0.0.1/tcp/11351/p2p/QmZcFcJFYYoZ3FNNGL88QaszUZwFwuBdFqYh6yPzJURc3s"
    - "/ip4/127.0.0.1/tcp/11352/p2p/QmXwtuPemSgH5ypzoKvcLdCLbd9jZ25FbpNf7VPjHF3HMS"
    - "/ip4/127.0.0.1/tcp/11353/p2p/QmRmQLHJoqAYGkuLFaNY6HLzwtTNxr45UJsYpSjdKvBQw2"
    - "/ip4/127.0.0.1/tcp/11354/p2p/QmURUHTGsuzzjgh1Xg6s92G1Q3gK91A6JEZGPfYNWwJMiT"
  tls:
    enabled: true
    priv_key_file: ../config-pk/permissioned-with-key/wx-org1/public-key/node/consensus1/consensus1.key

txpool:
  max_txpool_size: 5120 # 普通交易池上限
  max_config_txpool_size: 10 # config交易池的上限
  full_notify_again_time: 30 # 交易池溢出后,再次通知的时间间隔(秒)

rpc:
  provider: grpc
  port: 12301
  tls:
    # TLS模式:
    #   disable - 不启用TLS
    #   oneway  - 单向认证
    #   twoway  - 双向认证
    #mode: disable
    #mode: oneway
    mode: disable

monitor:
  enabled: false
  port: 14321

pprof:
  enabled: false
  port: 24321

storage:
  store_path: ../data/org1/ledgerData1
  blockdb_config:
    provider: leveldb
    leveldb_config:
      store_path: ../data/org1/blocks
  statedb_config:
    provider: leveldb
    leveldb_config:
      store_path: ../data/org1/state
  historydb_config:
    provider: leveldb
    leveldb_config:
      store_path: ../data/org1/history
  resultdb_config:
    provider: leveldb
    leveldb_config:
      store_path: ../data/org1/result
  disable_contract_eventdb: true  #是否禁止合约事件存储功能,默认为true,如果设置为false,需要配置mysql
  contract_eventdb_config:
    provider: sql                 #如果开启contract event db 功能,需要指定provider为sql
    sqldb_config:
      sqldb_type: mysql           #contract event db 只支持mysql
      dsn: root:password@tcp(127.0.0.1:3306)/  #mysql的连接信息,包括用户名、密码、ip、port等,示例:root:admin@tcp(127.0.0.1:3306)/
debug:
  # 是否开启CLI功能,过度期间使用
  is_cli_open: true
  is_http_open: false