众享区块链大讲堂103 Fabric-CA简介

你好，欢迎收听众享区块链大讲堂，今天的课程是Fabric-CA简介。

1、概述

Fabric CA是一个用于Hyperledger Fabric的证书机构(CA)，由一个服务端和一个客户端构成。它提供了如下功能：

l 身份的注册，或连接LDAP作为用户注册

l 登记证书(ECerts)的发布

l 证书的更新或撤销

下图说明了 Fabric CA 服务端如何在 Hyperledger Fabric 架构中发挥作用：

有两种方式与 Fabric CA 服务端交互：通过 Fabric CA 客户端，或者 通过一个Fabric SDK。所有与 Fabric CA 的交互都是通过 REST APIs 来实现的，可以通过 fabric-ca/swagger/swagger-fabric-ca.json查看RestApi的swagger说明文档。

Fabric CA 客户端或者 SDK 可能会连接到 Fabric CA 集群中某一个 Fabric CA 服务端，这一部分可以通过上图右上部分获得更好的理解。客户端连接的是一个 HA 代理节点，这个 HA 代理节点为 Fabric CA 集群作负载均衡。所有的 Fabric CA 服务端共享同一个数据库。数据库用来保存用户和证书信息。如果配置了 LDAP，那么用户信息将会保存在 LDAP 中，而不是数据库中。

2、Fabric CA 服务端

在启动Fabric CA服务端之前，你可以先初始化Fabric CA服务端。通过初始化，程序会自动生成一份默认配置文件，方便用户在启动前自行修改一些配置项。

Fabric CA服务端的根目录通过以下方式决定：

l 如果存在环境变量 FABRIC_CA_SERVER_HOME ，则使用该值

l 若存在环境变量 FABRIC_CA_HOME ，则使用该值

l 若存在环境变量 CA_CFG_PATH ，则使用该值

l 否则，使用当前的工作目录作为根目录

本章接下来的部分，我们假设你已经设置了环境变量 FABRIC_CA_HOME ，并且值设置为 $HOME/fabric-ca/server。

接下来的内容都默认服务端配置文件存在于服务端根目录下。

3、初始化服务端

用以下命令初始化Fabric CA服务端

fabric-ca-server init -b admin:adminpw

初始化时必须提供 -b (bootstrap identity: 引导身份) 选项。启动服务端时，至少需要提供一个引导身份。服务端配置文件包含一个可以配置的证书签名请求 (Certificate Signing Request, CSR) 部分。下面是一个CSR的例子……