go - 中间服务器注册问题 "local signer policy disallows issuing CA certificate"

Question

我正在尝试设置 Fabric 根 CA 和中间 CA。

环境如下，使用go语言，版本1.7.1。

Farbic root ca 配置如下，用于 Caconstanint 以允许此 Ca 签署其他中间证书。

signing:
default:
  usage:
    - digital signature
  expiry: 8760h
profiles:
  ca:
     usage:
       - cert sign
     expiry: 43800h
     caconstraint:
       isca: true
       maxpathlen: 1

在路径长度的 CSR 部分下

  csr:
   cn: fabric-root.example.com
   names:
      - C: US
        ST: "North Carolina"
        L: cary
        O: Hyperledger
        OU: Fabric
   hosts:
     - fabric-ca-root.example.com
     - fabric-ca-root
     - fabric-root
   ca:
      expiry: 131400h
      pathlength: 1

使用 go 脚本验证了这些值的证书。 https://play.golang.org/p/qoC7PIAmuo0

它有 MaxPathLen 和 MaxPathLenZero 1 false。

但是，当 CA 中间服务正在注册时，我仍然从 CA 服务器上的 Cfssl 库调用中收到此错误，如下所示。

2018/02/16 12:19:39 [DEBUG] getUserAttrValue identity=fabric-int-ca-1.example.com, name=hf.IntermediateCA, value=true
2018/02/16 12:19:39 [ERROR] local signer policy disallows issuing CA certificate
2018/02/16 12:19:39 [ERROR] Enrollment failure: Failed signing: {"code":5300,"message":"Policy violation request"}

如果您找到解决方法，请告知是否有人遇到类似问题？

Answer 1

我发现了问题。中间 Ca 中的配置导致配置文件下的中间部分出现问题，未提供 root cap 中定义的 ca>

  profiles:
  ca:
     usage:
       - cert sign
     expiry: 43800h
     caconstraint:
       isca: true
       maxpathlen: 1

    intermediate:
  parentserver:
    url: https://fabric-ca-root.example.com:7054
    caname: fabric-root.example.com

  enrollment:
    hosts:
         - fabric-int-ca-1.example.com
         - fabric-int-ca-1
         - fabric-int-ca
    profile: ca