OpenZeppelin Relayer 文档 - 签名器配置

签名者配置

概述

签名者负责在交易提交到区块链网络之前对其进行加密签名。OpenZeppelin Relayer 支持多种签名者类型，以适应不同的安全要求和基础设施设置。

每个签名者在 relayer 配置中都由其 id 引用。

配置结构

签名者配置示例：

"signers": [
  {
    "id": "my_id",
    "type": "local",
    "config": {
      "path": "config/keys/local-signer.json",
      "passphrase": {
        "type": "env",
        "value": "KEYSTORE_PASSPHRASE"
      }
    }
  }
]

支持的签名者类型

OpenZeppelin Relayer 支持以下签名者类型：

• local: 密钥库文件签名者

• vault: HashiCorp Vault 秘密签名者

• vault_transit: HashiCorp Vault Transit 签名者

• turnkey: Turnkey 签名者

• google_cloud_kms: Google Cloud KMS 签名者

• aws_kms: Amazon AWS KMS 签名者

网络兼容性矩阵

下表显示了哪些签名者类型与每种网络类型兼容：

常用配置字段

所有签名者类型共享以下常用配置字段：

本地签名者配置

本地签名者使用存储在文件系统上的加密密钥库文件。

{
  "id": "local-signer",
  "type": "local",
  "config": {
    "path": "config/keys/local-signer.json",
    "passphrase": {
      "type": "env",
      "value": "KEYSTORE_PASSPHRASE"
    }
  }
}

配置字段：

HashiCorp Vault 签名者配置

Vault 密钥签名者

使用 HashiCorp Vault 的密钥引擎来存储私钥。

{
  "id": "vault-signer",
  "type": "vault",
  "config": {
    "address": "https://vault.example.com",
    "role_id": {
      "type": "env",
      "value": "VAULT_ROLE_ID"
    },
    "secret_id": {
      "type": "env",
      "value": "VAULT_SECRET_ID"
    },
    "key_name": "relayer-key",
    "mount_point": "secret"
  }
}

配置字段：

Vault Transit 签名者

使用 HashiCorp Vault 的 Transit 密钥引擎进行加密操作。

{
  "id": "vault-transit-signer",
  "type": "vault_transit",
  "config": {
    "address": "https://vault.example.com",
    "role_id": {
      "type": "env",
      "value": "VAULT_ROLE_ID"
    },
    "secret_id": {
      "type": "env",
      "value": "VAULT_SECRET_ID"
    },
    "key_name": "relayer-transit-key",
    "mount_point": "transit",
    "namespace": "production",
    "pubkey": "your-public-key-here"
  }
}

配置字段：

Turnkey 签名者配置

使用 Turnkey 的安全密钥管理基础设施。

{
  "id": "turnkey-signer",
  "type": "turnkey",
  "config": {
    "api_public_key": "your-api-public-key",
    "api_private_key": {
      "type": "env",
      "value": "TURNKEY_API_PRIVATE_KEY"
    },
    "organization_id": "your-org-id",
    "private_key_id": "your-private-key-id",
    "public_key": "your-public-key"
  }
}

配置字段：

Google Cloud KMS 签名者配置

使用 Google Cloud Key Management Service 进行安全密钥操作。

{
  "id": "gcp-kms-signer",
  "type": "google_cloud_kms",
  "config": {
    "service_account": {
      "project_id": "your-gcp-project",
      "private_key_id": {
        "type": "env",
        "value": "GCP_PRIVATE_KEY_ID"
      },
      "private_key": {
        "type": "env",
        "value": "GCP_PRIVATE_KEY"
      },
      "client_email": {
        "type": "env",
        "value": "GCP_CLIENT_EMAIL"
      },
      "client_id": "your-client-id"
    },
    "key": {
      "location": "us-west2",
      "key_ring_id": "relayer-keyring",
      "key_id": "relayer-key",
      "key_version": 1
    }
  }
}

配置字段：

AWS KMS 签名者配置

使用 Amazon Web Services Key Management Service 进行加密操作。

{
  "id": "aws-kms-signer",
  "type": "aws_kms",
  "config": {
    "region": "us-west-2",
    "key_id": "arn:aws:kms:us-west-2:123456789012:key/12345678-1234-1234-1234-123456789012"
  }
}

配置字段：

安全最佳实践

文件权限

• 对密钥库文件设置限制性权限：chmod 0500 config/keys/*

• 确保配置目录已正确保护

• 对密码短语和 API 密钥等敏感数据使用环境变量

密钥管理

• 在可用时，对生产环境使用 HSM 支持的密钥

• 实施适当的密钥轮换策略

• 切勿将私钥或敏感配置提交到版本控制

• 使用具有最低所需权限的专用服务帐户

环境分离

• 对不同的环境（开发、暂存、生产）使用不同的签名者

• 在生产部署中实施适当的密钥管理

• 考虑使用云原生密钥管理服务来增强安全性

故障排除

常见问题

无效的密钥库密码短语

• 验证密码短语环境变量是否已正确设置

• 检查密钥库文件是否已损坏

• 确保密钥库格式兼容

Cloud KMS 身份验证失败

• 验证服务帐户凭据是否有效且格式正确

• 检查服务帐户是否具有 KMS 操作所需的权限

• 确保 KMS 密钥存在且位于正确的区域/项目中

Vault 连接问题

• 验证 Vault 服务器地址和网络连接

• 检查 AppRole 凭据和权限

• 确保密钥/传输引擎已正确挂载和配置

• 原文链接： docs.openzeppelin.com/re...
• 登链社区 AI 助手，为大家转译优秀英文文章，如有翻译不通的地方，还请包涵～