Hyperledger fabric Hyperledger Fabric Composer-限制系统管理员的访问权限

我的问题是关于hyperledger fabric composer中的访问控制

假设您有一个业务网络，其中有以下参与者：

卖家

（潜在）买家

卖方是向购买公司销售产品的公司的雇员。买方是购买公司的雇员

例如： 购买公司是戴姆勒。戴姆勒的三名员工在网络中注册为买家。 销售公司是通用电气公司。通用电气的两名员工在网络中注册为卖家

使用hyperledger composer的访问控制语言，可以随意限制买家和卖家的访问权限

但是节点级别的访问控制情况如何？

不仅有买家和卖家，还有两名系统管理员：一名系统管理员负责戴姆勒同行，另一名系统管理员负责通用电气同行

默认情况下，系统管理员可以访问所有数据。也就是说，戴姆勒系统管理员可以访问注册通用电气员工的所有数据。反之亦然，通用电气系统管理员可以访问戴姆勒注册员工的所有数据

是否可以将系统管理员的访问权限限制为少数权限，例如：

安装和启动业务网络的权利

控制其他系统管理员对系统所做更改的权利（例如，如果戴姆勒系统管理员更改了应用程序的代码，则通用电气管理员必须批准这些更改才能生效）

阅读访问自己公司的员工

---

对hyperledger结构的访问（包括与业务网络的交互）由hyperledger结构MSP管理。 Hyperledger fabric，作为Hyperledger fabric网络和通道设置的一部分，定义哪些身份（通过MSP创建）有权在对等方上安装链码，哪些身份有通道权限，以便能够实例化或升级链码。 可以将对等安装和通道实例化/升级限制为特定标识。 例如，有关Hyperledger fabric MSP的信息可以在该链接中找到，但您可能希望熟悉该部分的完整操作部分

Composer中的访问控制通过参与者和业务网络ACL文件完成。您可以控制哪些参与者可以对Composer运行时控制的资源执行各种操作。 您需要一个身份（由您的MSP生成），以便能够在频道/链码上进行交互（根据hyperledger fabric的要求）。为了在业务网络上进行交互，必须事先将该身份映射到特定参与者。当向业务网络发送请求时，composer将根据发出请求的身份查找该特定参与者，并使用该参与者及其类型，通过业务网络ACL文件中的信息确定允许其执行的操作

---

请注意，对等安装、通道实例化/链码升级等功能是结构级别的功能，而不是编写器功能，因此您不会通过编写器ACL定义来控制这些类型的活动

谢谢您的回答。。。“请注意，链码的对等安装、通道实例化/升级等功能是结构级别的功能，而不是编写器功能，因此您不会通过编写器ACL定义来控制这些类型的活动”。。。在ACL文件中，我可以操作网络管理员的访问权限（org.hyperledger.composer.system.NetworkAdmin）。。。。我认为这个网络管理员可以安装和通道实例化/升级链码。。。你是说这个网络管理员不能做这些事情吗？你可能还需要阅读。从结构的角度来看，有一些身份能够执行管理操作，这些身份在网络设置和通道创建时定义。您可以使用ACL文件定义参与者或参与者类型在业务网络中可以执行的功能。然后将身份绑定到参与者，以便用于与结构交互的身份可以映射到业务网络中的参与者。然后是结构ca服务器。您不必使用此服务器生成身份，但如果您使用此服务器（并且作曲家身份发布以及作曲家自动注册使用fabric ca服务器），则您需要具有颁发者权限的身份才能发布新的用户ID。根据您的设置方式，ca服务器将定义具有颁发者权限的现有身份。我们的简单开发服务器设置了一个引导标识admin和一个密码adminpw。当您注册该用户时，您将获得一个可以在ca服务器上设置新用户的身份。换句话说，对等管理员默认具有哪些访问权限？（例如，他/她是否能够查看旧交易？）。。。如何操作对等管理员的访问权限？这些权限现在特定于hyperledger结构（而不是composer）如何控制对分类账数据的访问。我会特别推荐一个新的stackoverflow问题，然后希望对织物有更深入了解的人会回答。我不熟悉那种程度的细节。