细粒度访问控制大理石样本

大理石链代码应用程序允许您创建具有独特属性（名称，大小，颜色和所有者）的资产（大理石），并与区块链网络中的其他参与者进行交易。

此示例应用程序包含各种函数，可用于检查如何处理访问控制列表和组，以将函数限制为特定用户。

示例概览

样本中包含的测试方案包含以下限制，以便管理资产：

  • 只有具有 "redMarblesTransferPermission" Fabric 属性的身份才允许批量传输红色大理石。
  • 只有具有 "blueMarblesTransferPermission" Fabric 属性的身份才允许批量传输蓝色大理石。
  • 仅允许删除具有 "deleteMarblePermission" Fabric 属性的身份。

通过在 fgMarbles_chaincode.go 链代码中实现以下库方法来实施这些限制：

  • 创建名为 bulkMarblesTransferGroup 的细粒度 ACL 组。此组将定义可以根据颜色（批量传输）传输大理石的所有身份：
    createGroup(stub, []string{" bulkMarblesTransferGroup", 
"List of Identities allowed to Transfer Marbles in Bulk", 
"%ATTR%redMarblesTransferPermission=true, %ATTR%blueMarblesTransferPermission=true", ".ACLs"})
  • 创建名为 redMarblesAcl 的细粒度 ACL，该 ACL 提供对 bulkMarblesTransferGroup 的批量传输：
    createACL(stub, []string{"redMarblesAcl", 
"ACL to control who can transfer red marbles in bulk", 
"redMarblesTransferPermission", "%GRP%bulkMarblesTransferGroup", "true", ".ACLs"})
  • 创建名为 blueMarblesAcl 的细粒度 ACL，该 ACL 提供对 bulkMarblesTransferGroup 的蓝色大理石的批量传输：
    createACL(stub, []string{"blueMarblesAcl", 
"ACL to control who can transfer blue marbles in bulk", 
"blueMarblesTransferPermission", "%GRP%bulkMarblesTransferGroup", "true", ".ACLs"})
  • 创建名为 deleteMarbleAcl 的细粒度 ACL，以基于 "canDeleteMarble=true" Fabric 属性限制大理石删除：
    createACL(stub, []string{"deleteMarbleAcl", 
"ACL to control who can Delete a Marble", 
"deleteMarblePermission", "%ATTR%deleteMarblePermission=true", "true", ".ACLs"})
  • 创建名为 marble 的细粒度 ACL 资源，这些操作使用我们创建的各种 ACL 进行控制：
    createResource(stub, []string{"marble", 
"System marble resource", 
"deleteMarbleAcl,blueMarblesAcl,redMarblesAcl,.ACLs"})

先决条件和设置

要运行大理石样品的细粒度访问控制版本，请完成以下步骤：

  1. 下载大理石样品的细粒度访问控制版本。在 Developer Tools（开发人员工具）页面上，打开 Samples（示例）窗格，然后单击 Marbles with Fine-Grained ACLs（大理石具有细粒度 ACL）下的下载链接。提取此程序包，其中包含大理石样例 (fgACL_MarbleSampleCC.zip) 的 .zip 文件、要运行样例的 Node.js 文件 (fgACL-NodeJSCode.zip) 和细粒度访问控制库 (Fine-GrainedAccessControlLibrary.zip)。
  2. 生成将部署到 Oracle Blockchain Platform 的链代码包：
    • 将 fgACL_MarbleSampleCC.zip 文件的内容提取到 fgACL_MarbleSampleCC 目录中。fgACL_MarbleSampleCC 目录的内容将是 fgACL_Operations.go、fgGroups_Operations.go、fgMarbles_chaincode.go、fgResource_Operations.go 和 go.mod 文件以及 oracle.com 目录。
    • 从命令行中，转到 fgACL_MarbleSampleCC 目录，然后运行 GO111MODULE=on go mod vendor。此命令将下载所需的依赖项并将其添加到 vendor 目录中。
    • 以 ZIP 格式压缩 fgACL_MarbleSampleCC 目录的所有内容（四个 Go 文件、go.mod 文件以及 vendor 和 oracle.com 目录）。您的链代码已准备好部署到 Oracle Blockchain Platform。
  3. 按 Use Quick Deployment 中所述安装和部署更新的示例链代码软件包 (fgACL_MarbleSampleCC.zip)。
  4. 在 Developer Tools（开发人员工具）页面上，打开 Application Development（应用程序开发）窗格，然后按照说明下载 Node.js SDK。
  5. 在 Developer Tools（开发人员工具）页面上，打开 Application Development（应用程序开发）窗格，然后单击 Download the development package（下载开发包）。
    1. 将开发包提取到使用随示例下载的 Node.js 文件的同一文件夹中。
    2. 在 network.yaml 文件中，查找 certificateAuthorities 项及其 registrar 项。下载时，将在 network.yaml 中屏蔽管理员的密码（转换为 ***）。运行此示例时，将此密码替换为管理员的明文密码。
  6. 在您的 Oracle Blockchain Platform 实例中注册新身份：
    1. 在映射到租户的 IDCS 中创建 IDCS 中的用户（在以下步骤中称为 <NewIdentity>）。
    2. 为此用户提供实例的 CA_User 应用程序角色。

实施细粒度访问控制大理石样品

完成以下步骤以注册新用户并使用提供的 Node.js 脚本实施 ACL 限制。

  1. 登记新用户：
    node registerEnrollUser.js <NewIdentity> <Password>
  2. 初始化：初始化访问控制列表。
    node invokeQueryCC.js <NewIdentity> <Password> <ChannelName> <ChaincodeName> ACLInitialization
  3. 创建访问控制列表、组和资源：这将创建概述中介绍的 ACL 资源。
    node invokeQueryCC.js <NewIdentity> <Password> <ChannelName> <ChaincodeName> createFineGrainedAclSampleResources
  4. 创建测试大理石资源：这将创建多个测试大理石资产 - Tom 拥有的 blue1 和 blue2、Jerry 拥有的 red1 和 red2 以及 spike 拥有的 green1 和 green2。
    node invokeQueryCC.js <NewIdentity> <Password> <ChannelName> <ChaincodeName> createTestMarbles

测试访问控制

为了测试我们的访问控制列表是否只允许正确的用户执行每个功能，请运行某些示例方案。

  1. 传输大理石：将大理石 blue1 从 tom 传输到 jerry。由于对谁可以转移单个大理石没有限制，因此成功完成。
    node invokeQueryCC.js <NewIdentity> <Password> <ChannelName> <ChaincodeName> transferMarble blue1 jerry
  2. 以管理用户身份传输大理石：将大理石 blue1 从 jerry 传输到 spike。因为对谁可以转移一个大理石没有限制，这也成功地完成了。
    node invokeQueryCC.js <AdminIdentity> <Password> <ChannelName> <ChaincodeName> transferMarble blue1 spike
  3. 获取历史记录：查询名为 blue1 的大理石的历史记录。它返回，它首先被转移到杰里，然后飙升。
    node invokeQueryCC.js <AdminIdentity> <Password> <ChannelName> <ChaincodeName> getHistoryForMarble blue1
  4. 传输所有红色大理石：redMarblesAcl ACL 允许此传输，因为新注册的身份具有所需的 "redMarblesTransferPermission=true" Fabric 属性，因此两个红色大理石将传输到 tom。
    node invokeQueryCC.js <NewIdentity> <Password> <ChannelName> <ChaincodeName> transferMarblesBasedOnColor red tom
  5. 以管理用户身份传输所有红色大理石：管理标识没有 "redMarblesTransferPermission=true" Fabric 属性，因此 redMarblesAcl ACL 会阻止此传输。
    node invokeQueryCC.js <AdminIdentity> <Password> <ChannelName> <ChaincodeName> transferMarblesBasedOnColor red jerry
  6. 传输所有绿色大理石：默认情况下，仅允许显式定义的访问。由于没有允许批量传输绿色大理石的 ACL，因此失败了。
    node invokeQueryCC.js <NewIdentity> <Password> <ChannelName> <ChaincodeName> transferMarblesBasedOnColor green tom
  7. 删除大理石：deleteMarbleAcl ACL 允许删除，因为新注册的身份具有所需的 "deleteMarblePermission=true" Fabric 属性。
    node invokeQueryCC.js <NewIdentity> <Password> <ChannelName> <ChaincodeName> delete green1
  8. 以管理用户身份删除大理石：deleteMarbleAcl ACL 会阻止此删除，因为管理标识不具有所需的 "deleteMarblePermission=true" Fabric 属性。
    node invokeQueryCC.js < AdminIdentity > <Password> <ChannelName> <ChaincodeName> delete green2

示例文件引用

这些表列出了示例附带的链代码和应用程序文件中可用的方法。

fgMarbles_chaincode.go

函数 说明
initMarble 创建大理石
transferMarble 根据名称将大理石从一个所有者转移到另一个所有者
createTestMarbles 调用 initMarble 以创建用于测试的样本大理石
createFineGrainedAclSampleResources 创建测试方案所需的细粒度访问控制列表 (ACL)、组和资源
transferMarblesBasedOnColor 将特定颜色的多个大理石传输给其他所有者
delete 删除大理石
readMarble 基于名称返回大理石的所有属性
getHistoryForMarble 返回大理石的值的历史记录

fgACL_Operations.go

方法 参数 说明
getACL
  • name
 获取指定的 ACL 或读取所有 ACL。调用该方法的用户必须具有对指定 ACL 的 READ 访问权限。
createACL
  • name
  • description
  • accesses
  • patterns
  • allowed
  • BindACLs
  • Identity_Certificate
 要创建 ACL，调用该方法的用户必须具有对名为 ". ACLs" 的引导资源的 CREATE 访问权限。不允许重复的命名 ACL
deleteACL
  • name
 调用该方法的用户必须具有对指定 ACL 的 DELETE 访问权限。
updateACL
  • name
  • description
  • accesses
  • patterns
  • allowed
  • BindACLs
 调用该方法的用户必须对指定的资源具有 UPDATE 权限，并且指定的 ACL 必须存在。
addAfterACL
  • aclName
  • existingBindAclName
  • newBindAclName
 调用该方法的用户必须对指定的资源具有 UPDATE 权限，并且指定的 ACL 必须存在。
addBeforeACL
  • aclName
  • existingBindAclName
  • newBindAclName
 调用该方法的用户必须对指定的资源具有 UPDATE 权限，并且指定的 ACL 必须存在。
addPatternToACL
  • aclName
  • BindPattern
 调用该方法的用户必须对指定的资源具有 UPDATE 权限，并且指定的 ACL 必须存在。
removePatternFromACL
  • aclName
  • BindPattern
 调用该方法的用户必须对指定的资源具有 UPDATE 权限，并且指定的 ACL 必须存在。
updateDescription
  • aclName
  • newDesc
 调用该方法的用户必须对指定的资源具有 UPDATE 权限，并且指定的 ACL 必须存在。
removeBindACL
  • aclName
  • bindAclNameToRemove
 调用该方法的用户必须对指定的资源具有 UPDATE 权限，并且指定的 ACL 必须存在。
addAccess
  • aclName
  • accessName
 调用该方法的用户必须对指定的资源具有 UPDATE 权限，并且指定的 ACL 必须存在。
removeAccess
  • aclName
  • accessName
 调用该方法的用户必须对指定的资源具有 UPDATE 权限，并且指定的 ACL 必须存在。
ACLInitialization
  • 无
 此函数用于初始化细粒度 ACL 支持。

fgGroups_Operations.go

方法 参数 说明
getGroup
  • name

如果 name="GetAll"，则返回身份有权访问的所有组。否则，它将基于名称返回单个组详细信息（如果可访问）。

调用该方法的用户必须具有对此组的 READ 访问权限。
createGroup
  • name
  • description
  • patterns
  • bindACLs

返回 success 或 error。

调用该方法的用户必须具有对引导组 ". Group" 的 CREATE 访问权限
deleteGroup
  • name
 调用该方法的用户必须具有对此组的 DELETE 访问权限。
addAfterGroup
  • groupName
  • existingBindAclName
  • newBindAclName
 调用该方法的用户必须具有对此组的 UPDATE 访问权限。
addBeforeGroup
  • groupName
  • existingBindAclName
  • newBindAclName
 调用该方法的用户必须具有对此组的 UPDATE 访问权限。
updateDescriptionForGroup
  • groupName
  • newDesc
 调用该方法的用户必须具有对此组的 UPDATE 访问权限。
removeBindAclFromGroup
  • groupName
  • bindAclNameToRemove
 调用该方法的用户必须具有对此组的 UPDATE 访问权限。
addMembersToGroup
  • groupName
  • pattern
 调用该方法的用户必须具有对此组的 UPDATE 访问权限。
removeMembersFromGroup
  • groupName
  • pattern
 调用该方法的用户必须具有对此组的 UPDATE 访问权限。

fgResource_Operations.go

方法 参数 说明
createResource
  • name
  • description
  • bindACLs
 调用该方法的用户必须具有对名为 ". Resources" 的引导资源的 CREATE 访问权限。不允许重复的命名资源。
getResource
  • name
 调用该方法的用户必须具有对资源的 READ 访问权限
deleteResource
  • name
 调用该方法的用户必须具有对指定资源的 DELETE 访问权限
addAfterACLInResource
  • ResourceName
  • existingBindAclName
  • newBindAclName
 调用该方法的用户必须具有对此资源的 UPDATE 访问权限
addBeforeACLInResource
  • ResourceName
  • existingBindAclName
  • newBindAclName
 调用该方法的用户必须具有对此资源的 UPDATE 访问权限
updateDescriptionInResource
  • ResourceName
  • newDesc
 调用该方法的用户必须具有对此资源的 UPDATE 访问权限
removeBindACLInResource
  • ResourceName
  • bindAclNameToRemove
 调用该方法的用户必须具有对此资源的 UPDATE 访问权限
checkResourceAccess
  • ResourceName
  • access
 检查调用该方法的当前用户是否具有指定对指定资源的访问权限。