CN113923233A

CN113923233A - 一种联盟链管理方法

Info

Publication number: CN113923233A
Application number: CN202111169010.4A
Authority: CN
Inventors: 康兴豪
Original assignee: Glodon Co Ltd
Current assignee: Glodon Co Ltd
Priority date: 2021-09-30
Filing date: 2021-09-30
Publication date: 2022-01-11

Abstract

本发明实施例提供了一种联盟链管理方法，该方法包括：联盟链管理系统向用户主机发送节点部署工具；用户主机基于节点部署工具启动代理服务，并生成代理服务凭证；联盟链管理系统接收用户主机发送的代理服务凭证进行存储；联盟链管理系统基于代理服务凭证向用户主机的代理服务发送联盟链管理指令；用户主机基于代理服务凭证对联盟链管理指令的来源进行身份验证，验证通过后执行联盟链管理指令。利用代理服务凭证使得用户主机只执行进行代理服务授权的联盟链管理系统的指令，确保了各个联盟链用户节点的安全性，通过解构现有BaaS，利用代理模式支持联盟成员节点在混合云场景下的部署和管理能力，支持跨云或自建IDC机房。

Description

一种联盟链管理方法

技术领域

本发明涉及计算机技术领域，具体涉及一种联盟链管理方法。

背景技术

随着区块链技术的发展，越来越多的企业也期望在业务里引入区块链提升自身业务和数据的可信程度。在具体实施层面，一般会选择联盟链的形式，但面对区块链较高的技术壁垒和学习成本，各企业都面临了巨大的挑战。因此，很多企业会更偏向于使用现有各大云服务厂商提供的“区块链即服务”(Blockchain as a Service)简称BaaS，来完成区块链的构建、管理和运维。

而现有基于BaaS的联盟链，都是依托于某一个云厂商，在实际应用中，会局限联盟参与方都需要依托于同一个云厂商，无法支持跨云或者自建互联网数据中心(InternetData Center)简称IDC机房。

发明内容

有鉴于此，本发明实施例提供了一种联盟链管理方法，以克服现有技术中基于BaaS的区块链无法支持跨云或自建IDC机房的问题。

本发明实施例提供了一种联盟链管理方法，包括：

联盟链管理系统向用户主机发送节点部署工具；

所述用户主机基于所述节点部署工具启动代理服务，并生成代理服务凭证；

所述联盟链管理系统接收所述用户主机发送的代理服务凭证进行存储；

所述联盟链管理系统基于所述代理服务凭证向所述用户主机的代理服务发送联盟链管理指令；

所述用户主机基于所述代理服务凭证对所述联盟链管理指令的来源进行身份验证，验证通过后执行所述联盟链管理指令。

可选地，所述节点部署工具包括：安装密钥，所述用户主机基于所述节点部署工具启动代理服务，并生成代理服务凭证，包括：

基于所述节点部署工具启动代理服务，配置代理服务节点；

配置身份凭证，并使用所述安装密钥对所述身份凭证进行加密，生成代理服务凭证，所述身份凭证包括：公钥和私钥。

可选地，所述联盟链管理系统基于所述代理服务凭证向所述用户主机的代理服务发送联盟链管理指令，包括：

基于当前用户主机对应的当前代理服务凭证确定所述当前用户主机对应的私钥；

基于所述私钥对所述联盟链管理指令进行加密；

将加密后的所述联盟链管理指令发送至所述当前用户主机对应的代理服务。

可选地，所述基于当前用户主机对应的当前代理服务凭证确定所述当前用户主机对应的私钥，包括：

获取当前用户主机对应的节点部署工具的当前安装秘钥；

基于所述当前安装秘钥对所述当前代理服务凭证进行解密，得到所述当前用户主机对应的私钥。

可选地，所述用户主机基于所述代理服务凭证对所述联盟链管理指令的来源进行身份验证，包括：

获取当前用户主机对应的公钥；

基于所述公钥对所述联盟链管理指令进行签名验证。

可选地，在联盟链管理系统向用户主机发送节点部署工具之前，所述方法还包括：

用户主机向联盟链管理系统发送联盟节点部署请求；

所述联盟链管理系统基于所述联盟节点部署请求，生成安装秘钥，并将所述安装密钥设置于节点部署工具中，向用户主机发送节点部署工具。

可选地，所述联盟链管理指令包括：联盟链的创建指令、运营指令及运维指令。

可选地，第一用户主机向所述联盟链管理系统发送联盟邀请请求；

所述联盟链管理系统将所述联盟邀请请求发送至所述联盟邀请请求对应的第二用户主机，所述第一用户主机和所述第二用户主机均为在所述联盟链管理系统中存储有代理服务凭证的用户主机；

所述第二用户主机基于接收到的所述联盟邀请请求生成联盟确认消息，将所述联盟确认消息发送至所述联盟链管理系统，所述联盟确认消息为回复的确认加入联盟的消息；

所述联盟链管理系统在接收到所述联盟邀请请求对应的第二用户主机发送的联盟确认消息后，生成联盟链创建指令；

所述联盟链管理系统基于所述代理服务凭证向所述第一用户主机和所述第二用户主机对应的代理服务发送所述联盟链创建指令；

所述第一用户主机和所述第二用户主机基于所述代理服务凭证对所述联盟链创建指令的来源进行身份验证，验证通过后基于所述联盟链创建指令进行联盟链节点的部署，构建联盟链。

本发明实施例还提供了一种电子设备，包括：存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令，从而执行本发明实施例提供方法。

本发明实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质存储计算机指令，所述计算机指令用于使计算机执行本发明实施例提供的方法。

本发明技术方案，具有如下优点：

本发明实施例提供了一种联盟链管理方法，通过联盟链管理系统向用户主机发送节点部署工具；用户主机基于节点部署工具启动代理服务，并生成代理服务凭证；联盟链管理系统接收用户主机发送的代理服务凭证进行存储；联盟链管理系统基于代理服务凭证向用户主机的代理服务发送联盟链管理指令；用户主机基于代理服务凭证对联盟链管理指令的来源进行身份验证，验证通过后执行联盟链管理指令。从而通过利用联盟链管理系统下发的节点部署工具在用户主机启动代理服务，然后利用代理服务凭证向各用户主机对应的代理服务发送联盟链管理指令，在用户主机运行联盟链管理指令前通过利用代理服务凭证对指令来源进行身份验证的方式，从而只执行进行代理服务授权的联盟链管理系统的指令，从而通过解构现有BaaS，利用代理模式支持联盟成员节点在混合云场景下的部署和管理能力，支持跨云或自建IDC机房，并且通过发放代理服务凭证的授权方式，确保了各个联盟链用户节点的安全性。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中的联盟链管理系统的结构示意图；

图2为本发明实施例中的联盟链管理方法的流程图；

图3为本发明实施例中的联盟链的应用示例图；

图4为本发明实施例中的电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面所描述的本发明不同实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互结合。

现有BaaS的联盟链建立，都是依托于某一个云厂商，在实际应用中，会局限联盟参与方都需要依托于同一个云厂商，无法支持跨云或者自建IDC机房。此外，联盟链的显著特点是各个节点都对应一个参与方，各参与方需要对自己的节点有自主控制权，同时任何参与方节点想要加入联盟链，需要得到联盟的许可，所有参与方共同维护联盟链系统的稳定发展，否则容易出现合谋攻击，影响区块链系统的安全和可信程度。而现有BaaS一般采用k8s集群的方式管理联盟链中的所有节点，这和区块链本身分布式的思想是相悖的，由联盟链的发起者提供主机资源部署k8s集群，联盟链的参与方没有自主权，最终导致区块链网络的中心化，不利于联盟链的发展。

基于上述问题，本发明实施例提供了一种联盟链管理方法，应用于如图1所示的联盟链管理系统，该系统包括：联盟链管理系统1和若干用户主机2，如图2所示，该联盟链管理方法包括如下步骤：

步骤S101：联盟链管理系统向用户主机发送节点部署工具。

其中，该节点部署工具包含：部署执行脚本、部署所需要的程序资源，具体可根据要构建的联盟链底层需求，配置对应的程序资源以及安装密钥，以提高联盟链的安全性。

步骤S102：用户主机基于节点部署工具启动代理服务，并生成代理服务凭证。

其中，联盟创建者和联盟成员通过手动或自动的方式在各自主机执行实例化工具，完成准备工作，其中包括启动、注册代理服务。该代理服务凭证用于给对应的联盟链管理系统进行授权，只有得到授权的联盟链管理系统发送的操作指令才能被用户主机配置的代理服务所执行，进而保障了联盟链管理的安全性。

步骤S103：联盟链管理系统接收用户主机发送的代理服务凭证进行存储。

步骤S104：联盟链管理系统基于代理服务凭证向用户主机的代理服务发送联盟链管理指令。

步骤S105：用户主机基于代理服务凭证对联盟链管理指令的来源进行身份验证，验证通过后执行联盟链管理指令。

通过执行上述步骤，本发明实施例提供的联盟链管理方法，通过利用联盟链管理系统下发的节点部署工具在用户主机启动代理服务，然后利用代理服务凭证向各用户主机对应的代理服务发送联盟链管理指令，在用户主机运行联盟链管理指令前通过利用代理服务凭证对指令来源进行身份验证的方式，从而只执行进行代理服务授权的联盟链管理系统的指令，从而通过解构现有BaaS，利用代理模式支持联盟成员节点在混合云场景下的部署和管理能力，支持跨云或自建IDC机房，并且通过发放代理服务凭证的授权方式，确保了各个联盟链用户节点的安全性。

具体地，在一实施例中，节点部署工具包括：安装密钥，上述的步骤S102具体包括如下步骤：

步骤S201：基于节点部署工具启动代理服务，配置代理服务节点。

其中，节点部署工具负责代理服务的启动，将代理服务节点部署在各联盟参与方自主可控的主机，由代理服务接收并执行联盟链管理系统的指令，从而完成联盟链管理和管理。

步骤S202：配置身份凭证，并使用安装密钥对身份凭证进行加密，生成代理服务凭证。

其中，代理服务凭证包括：公钥和私钥。通过公私钥对向联盟链管理系统进行授权，从而使得联盟链管理系统可以利用其对管理指令进行加密，然后发送至对应的代理服务，代理服务也利用其进行解密鉴权，只有鉴权通过说明该联盟链管理系统发送的管理指令得到代理服务授权，可以执行相应操作，从而提高了联盟链的安全性。

具体地，在一实施例中，上述的步骤S104具体包括如下步骤：

步骤S301：基于当前用户主机对应的当前代理服务凭证确定当前用户主机对应的私钥。

具体地，上述步骤S301通过获取当前用户主机对应的节点部署工具的当前安装秘钥；基于当前安装秘钥对当前代理服务凭证进行解密，得到当前用户主机对应的私钥。

步骤S302：基于私钥对联盟链创建指令进行加密。

步骤S303：将加密后的联盟链管理指令发送至当前用户主机对应的代理服务。

具体地，在一实施例中，上述的步骤S105中用户主机基于代理服务凭证对联盟链管理指令的来源进行身份验证，具体包括如下步骤：

步骤S501：获取当前用户主机对应的公钥。

步骤S502：基于公钥对联盟链管理指令进行签名验证。

从而通过对联盟链管理系统发送管理指令的鉴权验证，保证代理服务只接收经过授权的管理系统指令，进一步提高联盟链的安全性。

具体地，在一实施例中，在执上述步骤S101之前，本发明实施例提供的联盟链管理方法还包括如下步骤：

步骤S106：用户主机向联盟链管理系统发送联盟节点部署请求。

其中，该联盟节点部署请求为任意一用户主机同意通过该联盟链管理系统进行联盟链管理、管理及运维时发送的注册请求。

步骤S107：联盟链管理系统基于联盟节点部署请求，生成安装秘钥，并将安装密钥设置于节点部署工具中，执行步骤S101。

其中，安装密钥可以是由联盟链管理系统随机生成的指定算法的密钥如固定长度的随机数等，为了进一步保证安全性，还可以在每次节点部署工具下载时都随机生成该安装密钥，联盟成员在执行部署脚本时可输入该安装密钥进行部署工作。

具体地，在一实施例中，上述的联盟链管理指令包括：联盟链的创建指令、运营指令及运维指令。

示例性地，以联盟链的创建指令为例，如图2所示，本发明实施例提供的联盟链管理过程如下：

第一用户主机向联盟链管理系统发送联盟邀请请求。

其中，联盟邀请请求可以由任意一个在联盟链管理系统完成代理服务注册的用户主机，即在联盟链管理系统的数据库中存储有该用户主机对应的代理服务凭证的用户主机发起，该联盟邀请请求包括：联盟链所包含的成员信息、联盟链的管理方式、提供的服务等内容，仅以此为例，并不以此为限。

联盟链管理系统将联盟邀请请求发送至联盟邀请请求对应的第二用户主机，第一用户主机和第二用户主机均为在联盟链管理系统中存储有代理服务凭证的用户主机。

其中，第二用户主机在接收到联盟邀请请求后，可以选择是否同意加入该联盟链，如果确认加入则生成确认加入的联盟确认信息，否则生成拒绝加入的联盟确认信息。

第二用户主机基于接收到的联盟邀请请求生成联盟确认消息，将联盟确认消息发送至联盟链管理系统，联盟确认消息为回复的确认加入联盟的消息。

联盟链管理系统在接收到联盟邀请请求对应的第二用户主机发送的联盟确认消息后，生成联盟链创建指令。

具体地，在所有联盟成员均同意加入联盟链后，则触发联盟链管理系统向所有的联盟链成员及联盟链创建者发送联盟链创建指令，该联盟链创建指令包括：联盟链各节点的部署要求等信息。

联盟链管理系统基于代理服务凭证向第一用户主机和第二用户主机对应的代理服务发送联盟链创建指令。

第一用户主机和第二用户主机基于代理服务凭证对联盟链创建指令的来源进行身份验证，验证通过后基于联盟链创建指令进行联盟链节点的部署，构建联盟链。

具体地，第一用户主机和第二用户主机在接收到联盟链创建指令后，会按照指令中联盟链各节点的部署要求进行部署，从而实现整个联盟链的构建。类似地，联盟链运营及运维等管理指令的执行过程参见上述联盟链创建指令的鉴权验证过程，在此不再进行赘述。从而通过对所有管理指令鉴权验证的方式，保障了联盟成员所执行的指令均是由经过授权的联盟链管理系统发送的，从而保障了联盟成员执行指令的安全性，进一步提高了整个联盟链的安全性。

具体地，在本发明实施例中，上述的联盟链管理系统为用于联盟链创建及管理、运维的系统，其是一个中心化的管理系统，用于给联盟链各参与方成员管理员进行可视化操作，同时将操作转化为各代理服务的指令。如图3所示，在联盟链创建后，联盟链的创建者管理员及相应联盟链成员管理员均可对联盟链管理系统进行操作，然后由联盟链管理系统将对应的操作指令下发至各个联盟成员所在联盟链节点对应主机的代理服务执行对应指令任务。上述的第一用户主机为所有主机中任意一个发起联盟邀请请求的主机，其为如图3所示的联盟创建者，第二用户主机为联盟链中其余联盟成员，所有的用户主机通过启动代理服务(Agent)，并通过将其部署在各联盟参与方自主可控的主机，负责接收并执行联盟链管理系统的指令，完成联盟链管理和管理。

下面将结合具体应用示例，对本发明实施例提供的联盟链管理方法进行详细的说明。

本发明实施例的联盟链管理方法的具体构建过程如下：

a)、联盟链创建者和联盟链成员准备好自主可控的主机资源。

b)、联盟创建者和联盟成员分别登录联盟链管理系统并申请自身在联盟中节点部署工具(包含安装密钥)。

c)、联盟创建者和联盟成员通过手动或自动的方式在各自主机执行实例化工具，完成准备工作，其中包括启动、注册代理服务。

d)、联盟创建者发起创建联盟邀请，联盟链管理系统将邀请函发送消息给联盟成员

e)、各联盟成员查看邀请函，并确认加入联盟链

f)、所有联盟成员完成确认后，触发联盟链管理系统创建联盟链任务，发送联盟链创建指令给各主机的代理服务，各代理服务鉴权后根据联盟创建要求，完成联盟链所有节点的部署，最终完成整个联盟链的构建。

其中，联盟成员代理服务注册过程如下：

a)、联盟成员在联盟链管理系统下载自己的节点部署工具(含安装密钥)。节点部署工具包含：部署执行脚本、部署所需要的程序资源(具体可根据要构建的联盟链底层实现需求配置对应会的程序资源)以及安装密钥。安装密钥是由联盟链管理系统随机生成的指定算法的密钥如固定长度的随机数等，为了保证安全性，每次节点部署工具下载时都会随机生成，联盟成员在执行部署脚本时需要输入该密钥进行部署工作。

b)、执行节点部署工具并启动代理服务，在部署过程中，会通过节点部署工具为联盟链管理系统颁发其身份凭证(包含公私钥)。

c)、代理服务使用安装密钥加密联盟链系统的身份凭证(包含公私钥)，发送给联盟链管理系统。这里节点部署工具负责代理服务的启动，代理服务启动后会自动颁发联盟链管理系统身份凭证。

d)、联盟链管理系统利用节点部署根据对应的加密密钥解密联盟成员给自己颁发的身份凭证(包含公私钥)后存于数据库，完成注册。

此外，联盟成员代理服务鉴权过程如下：

a)、联盟链管理系统从数据库查询某联盟成员颁发给自己的身份凭证(包含公私钥)。

b)、使用私钥对指令，同时加上时间戳以及随机数进行签名，将指令、时间戳、随机数以及签名值发送给该联盟成员代理服务。

c)、代理服务使用其颁发给联盟链管理系统身份凭证的公钥进行签名验证，完成鉴权。

鉴权的目的是为了代理服务只接收经过授权的管理系统指令，保证不是任何系统发过来的指令代理服务都会去执行，即代理服务提供的所有服务或接口都需要经过鉴权后，代理服务才会去执行。需要说明的是，鉴权粒度可以是针对某个联盟链管理系统所有的服务，当然需要更细粒度的鉴权，可以将提供的服务或接口分类，然后在给联盟链管理系统颁发身份凭据的时候，在身份凭据上加上分类信息，以根据自身需求对联盟链管理系统进行部分服务的管理授权，以提高自身服务管理的灵活性和安全性。

根据本发明实施例还提供了一种电子设备，如图4所示，该电子设备可以包括处理器901和存储器902，其中处理器901和存储器902可以通过总线或者其他方式连接，图4中以通过总线连接为例。

处理器901可以为中央处理器(Central Processing Unit，CPU)。处理器901还可以为其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等芯片，或者上述各类芯片的组合。

存储器902作为一种非暂态计算机可读存储介质，可用于存储非暂态软件程序、非暂态计算机可执行程序以及模块，如本发明方法实施例中的方法所对应的程序指令/模块。处理器901通过运行存储在存储器902中的非暂态软件程序、指令以及模块，从而执行处理器的各种功能应用以及数据处理，即实现上述方法实施例中的方法。

存储器902可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储处理器901所创建的数据等。此外，存储器902可以包括高速随机存取存储器，还可以包括非暂态存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态固态存储器件。在一些实施例中，存储器902可选包括相对于处理器901远程设置的存储器，这些远程存储器可以通过网络连接至处理器901。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

一个或者多个模块存储在存储器902中，当被处理器901执行时，执行上述方法实施例中的方法。

上述电子设备具体细节可以对应参阅上述方法实施例中对应的相关描述和效果进行理解，此处不再赘述。

本领域技术人员可以理解，实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，存储介质可为磁碟、光盘、只读存储记忆体(Read－Only Memory，ROM)、随机存储记忆体(Random Access Memory，RAM)、快闪存储器(Flash Memory)、硬盘(Hard Disk Drive，缩写：HDD)或固态硬盘(Solid－StateDrive，SSD)等；存储介质还可以包括上述种类的存储器的组合。

虽然结合附图描述了本发明的实施例，但是本领域技术人员可以在不脱离本发明的精神和范围的情况下作出各种修改和变型，这样的修改和变型均落入由所附权利要求所限定的范围之内。

Claims

1.一种联盟链管理方法，其特征在于，包括：

联盟链管理系统向用户主机发送节点部署工具；

2.根据权利要求1所述的方法，其特征在于，所述节点部署工具包括：安装密钥，所述用户主机基于所述节点部署工具启动代理服务，并生成代理服务凭证，包括：

基于所述节点部署工具启动代理服务，配置代理服务节点；

3.根据权利要求2所述的方法，其特征在于，所述联盟链管理系统基于所述代理服务凭证向所述用户主机的代理服务发送联盟链管理指令，包括：

基于所述私钥对所述联盟链管理指令进行加密；

4.根据权利要求3所述的方法，其特征在于，所述基于当前用户主机对应的当前代理服务凭证确定所述当前用户主机对应的私钥，包括：

获取当前用户主机对应的节点部署工具的当前安装秘钥；

5.根据权利要求3所述的方法，其特征在于，所述用户主机基于所述代理服务凭证对所述联盟链管理指令的来源进行身份验证，包括：

获取当前用户主机对应的公钥；

基于所述公钥对所述联盟链管理指令进行签名验证。

6.根据权利要求2所述的方法，其特征在于，在联盟链管理系统向用户主机发送节点部署工具之前，所述方法还包括：

用户主机向联盟链管理系统发送联盟节点部署请求；

7.根据权利要求1所述的方法，其特征在于，所述联盟链管理指令包括：联盟链的创建指令、运营指令及运维指令。

8.根据权利要求7所述的方法，其特征在于，

第一用户主机向所述联盟链管理系统发送联盟邀请请求；

9.一种电子设备，其特征在于，包括：

存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令，从而执行权利要求1－8任一项所述方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使计算机执行权利要求1－8任一项所述的方法。