Hyperledger Fabric的ABAC功能实战

2021-11-11 14:47:21

ABAC是什么？

ABAC的全称是Attribute-based access control 具体可以参考wiki中的定义。https://en.wikipedia.org/wiki/Attribute-based_access_control
简单点说，这是一种访问控制模型，通过对访问主体的属性标注，结合规则来实现访问控制的目的。通常分为两个步骤：

先对访问控制主体打标。例如：性别：男，职位：主管
然后基于规则控制。例如：某管理接口，需要职位 > 主管的人才可访问

Fabric中的abac又是怎么回事呢？

Fabric中是使用PKI机制作为身份管理手段的。在很早的版本中就加入了对ABAC的支持（https://jira.hyperledger.org/browse/FABC-539）。在Fabric中，我们要使用ABAC，也分为两个步骤。

对访问控制的主体打标。在Fabric中，我们通过Fabric CA的身份管理接口实现对身份的打标，后续该身份enroll的证书会带上相应的属性标记。可以参考以下官方文档：
- https://hyperledger-fabric-ca.readthedocs.io/en/release-1.4/users-guide.html#registering-a-new-identity
- https://hyperledger-fabric-ca.readthedocs.io/en/release-1.4/users-guide.html#attribute-based-access-control
在智能合约中，我们通过解析身份证书中的属性，再按照我们设定的规则，实现ABAC。Fabric也有相关的文档来指导我们如何在chaincode中使用这部分功能：
- https://github.com/hyperledger/fabric/blob/release-1.4/core/chaincode/lib/cid/README.md

在VS Code中实现ABAC功能

通过create identity创建带属性的身份证书。
- 为身份取名：abac_test
- 是否创建属性：Yes
- 设定属性（ecert一定要为true）：[{"name": "viplevel", "value": "5", "ecert": true}]

创建完的身份可以看到对应的属性

在链码中设定访问控制逻辑

我们可以插入如下代码到delete函数逻辑中。

    val, ok, err := cid.GetAttributeValue(stub, "viplevel")
    if err != nil {
        return shim.Error("Failed to GetAttributeValue")
    }
    if !ok {
        return shim.Error("Failed to GetAttributeValue")
    }
    if val != "5" {
        return shim.Error("Only viplevel 5 are allowed to delete!")
    }

注意：在单机模式下，我们只需要启动debug就能让开发中的代码生效，无需升级链码。

使用不同的身份访问提交delete请求

我们可以在FABRIC GATEWAYS这里通过断开连接再重新连接的方式，切换连接身份。我们可以看到，使用abac_test可以成功执行删除功能。而使用之前的admin角色账号，删除出错。自此我们就实现了基于ABAC的访问控制。

在阿里云BaaS平台上使用ABAC功能

ABAC中关键的给用户打标功能我们可以通过阿里云BaaS控制台来做到。在BaaS控制台中创建用户一栏，选择高级，在属性集中设置所需的kv对，即可创建带属性的账号。
此外，阿里云BaaS还提供了配套插件，使用此插件可以方便的将链码部署到云上。同时也提供了connection-profile下载等其他功能，IBM Blockchain Platform插件的gateway、wallet也可以连接到阿里云BaaS的Fabric，让你对直接对云上的区块链实例发起交易。

联系我们

欢迎感兴趣的同学加入钉钉群(钉钉群号： 23181816)。

码农公寓