签名者配置 - OpenZeppelin 文档

签名者配置

概述

签名者负责在交易提交到区块链网络之前对其进行加密签名。OpenZeppelin Relayer 支持多种签名者类型，以适应不同的安全需求和基础设施设置。

signers 配置中的数组必须包含至少一个有效的签名者配置。每个签名者都通过其 id 在 relayer（中继器）配置中被引用。

配置结构

签名者配置示例：

"signers": [\
  {\
    "id": "my_id",\
    "type": "local",\
    "config": {\
      "path": "config/keys/local-signer.json",\
      "passphrase": {\
        "type": "env",\
        "value": "KEYSTORE_PASSPHRASE"\
      }\
    }\
  }\
]

支持的签名者类型

OpenZeppelin Relayer 支持以下签名者类型：

• local: Keystore（密钥库）文件签名者

• vault: HashiCorp Vault secret（密钥）签名者

• vault_cloud: Hosted HashiCorp Vault secret（托管的 HashiCorp Vault 密钥）签名者

• vault_transit: HashiCorp Vault Transit 签名者

• turnkey: Turnkey 签名者

• google_cloud_kms: Google Cloud KMS 签名者

• aws_kms: Amazon AWS KMS 签名者

网络兼容性矩阵

下表显示了哪些签名者类型与每种网络类型兼容：

常用配置字段

所有签名者类型都共享这些常用配置字段：

Local（本地）签名者配置

本地签名者使用存储在文件系统上的加密密钥库文件。

{
  "id": "local-signer",
  "type": "local",
  "config": {
    "path": "config/keys/local-signer.json",
    "passphrase": {
      "type": "env",
      "value": "KEYSTORE_PASSPHRASE"
    }
  }
}

配置字段：

HashiCorp Vault 签名者配置

Vault Secret（密钥）签名者

使用 HashiCorp Vault 的密钥引擎来存储私钥。

{
  "id": "vault-signer",
  "type": "vault",
  "config": {
    "address": "https://vault.example.com",
    "role_id": {
      "type": "env",
      "value": "VAULT_ROLE_ID"
    },
    "secret_id": {
      "type": "env",
      "value": "VAULT_SECRET_ID"
    },
    "key_name": "relayer-key",
    "mount_point": "secret"
  }
}

配置字段：

Vault Cloud 签名者

使用 HashiCorp Vault Cloud (HCP Vault) 进行密钥管理。

{
  "id": "vault-cloud-signer",
  "type": "vault_cloud",
  "config": {
    "client_id": "your-client-id",
    "client_secret": {
      "type": "env",
      "value": "VAULT_CLOUD_CLIENT_SECRET"
    },
    "org_id": "your-org-id",
    "project_id": "your-project-id",
    "app_name": "relayer-app",
    "key_name": "signing-key"
  }
}

配置字段：

Vault Transit 签名者

使用 HashiCorp Vault 的 Transit secrets 引擎进行加密操作。

{
  "id": "vault-transit-signer",
  "type": "vault_transit",
  "config": {
    "address": "https://vault.example.com",
    "role_id": {
      "type": "env",
      "value": "VAULT_ROLE_ID"
    },
    "secret_id": {
      "type": "env",
      "value": "VAULT_SECRET_ID"
    },
    "key_name": "relayer-transit-key",
    "mount_point": "transit",
    "namespace": "production",
    "pubkey": "your-public-key-here"
  }
}

配置字段：

Turnkey 签名者配置

使用 Turnkey 的安全密钥管理基础设施。

{
  "id": "turnkey-signer",
  "type": "turnkey",
  "config": {
    "api_public_key": "your-api-public-key",
    "api_private_key": {
      "type": "env",
      "value": "TURNKEY_API_PRIVATE_KEY"
    },
    "organization_id": "your-org-id",
    "private_key_id": "your-private-key-id",
    "public_key": "your-public-key"
  }
}

配置字段：

Google Cloud KMS 签名者配置

使用 Google Cloud Key Management Service 进行安全密钥操作。

{
  "id": "gcp-kms-signer",
  "type": "google_cloud_kms",
  "config": {
    "service_account": {
      "project_id": "your-gcp-project",
      "private_key_id": {
        "type": "env",
        "value": "GCP_PRIVATE_KEY_ID"
      },
      "private_key": {
        "type": "env",
        "value": "GCP_PRIVATE_KEY"
      },
      "client_email": {
        "type": "env",
        "value": "GCP_CLIENT_EMAIL"
      },
      "client_id": "your-client-id"
    },
    "key": {
      "location": "us-west2",
      "key_ring_id": "relayer-keyring",
      "key_id": "relayer-key",
      "key_version": 1
    }
  }
}

配置字段：

AWS KMS 签名者配置

使用 Amazon Web Services Key Management Service 进行加密操作。

{
  "id": "aws-kms-signer",
  "type": "aws_kms",
  "config": {
    "region": "us-west-2",
    "key_id": "arn:aws:kms:us-west-2:123456789012:key/12345678-1234-1234-1234-123456789012"
  }
}

配置字段：

安全最佳实践

文件权限

• 设置对密钥库文件的限制性权限：chmod 0500 config/keys/*

• 确保配置目录已正确保护

• 对密码和 API 密钥等敏感数据使用环境变量

密钥管理

• 在可用时，对生产环境使用 HSM 支持的密钥

• 实施适当的密钥轮换策略

• 切勿将私钥或敏感配置提交到版本控制

• 使用具有最少所需权限的专用服务帐户

环境分离

• 对不同的环境（开发、暂存、生产）使用不同的签名者

• 在生产环境中实施适当的密钥管理

• 考虑使用云原生密钥管理服务来增强安全性

故障排除

常见问题

无效的密钥库密码

• 验证密码环境变量是否已正确设置

• 检查密钥库文件是否已损坏

• 确保密钥库格式兼容

Cloud KMS 身份验证失败

• 验证服务帐户凭据是否有效且格式正确

• 检查服务帐户是否具有 KMS 操作所需的必要权限

• 确保 KMS 密钥存在并且位于正确的区域/项目中

Vault 连接问题

• 验证 Vault 服务器地址和网络连接

• 检查 AppRole 凭据和权限

• 确保 secret/transit 引擎已正确挂载和配置

有关其他故障排除帮助，请检查应用程序日志并参阅特定的云提供商或服务文档。

← 配置

网络配置 →

• 原文链接： docs.openzeppelin.com/re...
• 登链社区 AI 助手，为大家转译优秀英文文章，如有翻译不通的地方，还请包涵～