会员服务提供商的Hyperledger Fabric文档 - 问题

Question

我阅读了Hyperledger Fabric会员服务提供商（MSP）上的文档，但并非所有内容都非常清楚。

关于MSP文档部分的链接是：https://hyperledger-fabric.readthedocs.io/en/release-1.2/membership/membership.html

1. 从文档引用：

这是成员服务提供商（MSP）发挥作用的地方 - 它通过列出其成员的身份或通过识别来识别哪些根CA和中间CA被信任来定义信任域（例如组织）的成员。哪些CA被授权为其成员发布有效身份，或者 - 通常情况下 - 通过两者的组合。

我对这一段的理解是这样的：OrgX的MSP要么有一个OrgX成员列表（因此可以简单地根据列表检查网络上的参与者），或者MSP定义允许哪个证书颁发机构发布身份OrgX的成员。这种理解是否正确？

2. 如果OrgX的MSP定义了允许向OrgX成员发布身份的证书颁发机构，那么这如何保护网络免受不必要的参与者的侵害？假设OrgX的MSP使用“Symantec”作为其CA.因此，拥有赛门铁克证书的每个人都被视为OrgX的成员，并且可以参与该网络。但是，如果我（谁不是OrgX的成员）获得“赛门铁克”的证书怎么办？我现在自动被认为是OrgX的余烬，可以加入网络吗？
3. 有渠道MSP和本地MSP。根据文档，通道MSP和本地MSP都定义哪些标识属于某个组织（例如，OrgX）。但是，如果信道MSP包含与本地MSP相同的信息（即基本上是身份列表），那么将信道MSP实例化到节点的重点是什么？

Answer 1

我对这一段的理解是这样的：OrgX的MSP要么有一个OrgX成员列表（因此可以简单地根据列表检查网络上的参与者），或者MSP定义允许哪个证书颁发机构发布身份OrgX的成员。这种理解是否正确？

正确。但是......实际上，在MSP中明确配置的唯一证书是管理员证书。其余的未配置，并通过标准x509 PKI验证（查找某些中间或根CA的验证路径）进行验证，而管理证书通过逐字节比较来识别。

如果OrgX的MSP定义了允许向OrgX成员发布身份的证书颁发机构，那么这如何保护网络免受不必要的参与者的侵害？

不期望的参与者不会拥有具有OrgX使用的相应证书的私钥。

假设OrgX的MSP使用“Symantec”作为其CA.因此，拥有赛门铁克证书的每个人都被视为OrgX的成员，并且可以参与该网络。但是，如果我（谁不是OrgX的成员）获得“赛门铁克”的证书怎么办？我现在自动被认为是OrgX的余烬，可以加入网络吗？

如果您获得与Symantec CA颁发的证书的公钥相对应的私钥，并且CA具有在结构通道配置中配置为根CA或中间CA的证书，则 - 您可以将其验证为OrgX的成员。

有渠道MSP和本地MSP。根据文档，通道MSP和本地MSP都定义哪些标识属于某个组织（例如，OrgX）。但是，如果信道MSP包含与本地MSP相同的信息（即基本上是身份列表），那么将信道实例化到节点的重点是什么？

通道MSP不包含与本地MSP相同的信息。本地MSP仅包含有关本地MSP节点（对等方，订购方）所属组织的信息。但是 - 通道MSP可以包含有关作为通道成员的任何组织的信息。实际上，一个频道有几个MSP - 每个组织1个！

考虑一个例子 - 你在频道Foo中有org A，B C.因此，通道配置将具有3个MSP - 每个MSP用于验证属于相应组织的身份。