postfinance/hlfabric-k8scc

hlfabric-k8scc

!https://github.com/postfinance/hlfabric-k8scc/workflows/Test%20k8scc%20on%20Kubernetes/badge.svg

镜像概述和主要用途

hlfabric-k8scc是一个用于Kubernetes环境下Hyperledger Fabric的外部链码启动器和构建器。它直接与Kubernetes API通信，不依赖Docker，使Hyperledger Fabric Peer能够在Kubernetes上部署而无需暴露Docker socket，从而提高安全性和可移植性。

核心功能和特性

• 链码构建与Peer分离运行
• 链码启动与Peer分离运行
• 链码的构建和启动与默认/内部系统兼容
• 链码无需修改即可使用
• 链码构建和启动所使用的镜像可与内部系统相同
• 可强制执行Kubernetes安全机制（网络策略、主机隔离等）
• 不依赖Kubernetes CRI实现（如Docker）
• 无需特权Pod
• 链码的stdout和stderr输出转发至Peer
• Peer可感知链码故障状态

使用场景和适用范围

适用于在Kubernetes集群中部署Hyperledger Fabric网络的场景，特别是需要增强安全性、减少对Docker依赖、提升部署可移植性的企业级***应用。

使用方法和配置说明

使用要求

• Peer作为Pod运行在具有操作Pod权限的Kubernetes ServiceAccount下
• Peer使用由PersistentVolumeClaim提供的PersistentVolume，用于在Peer、构建器和启动器Pod之间交换数据

基本使用

最简单的使用方式是通过postfinance/hlfabric-k8scc https://hub.docker.com/r/postfinance/hlfabric-k8scc%E3%80%82%E8%AF%A5%E9%95%9C%E5%83%8F%E5%9F%BA%E4%BA%8EHyperledger Fabric Peer镜像构建，并扩展了默认配置。

当在Kubernetes上运行Peer时，需确保RBAC已配置，且Peer Pod以匹配规则的服务账户运行。Peer的配置示例如下：

yaml
spec:
  template:
    spec:
      serviceAccountName: peer                             # 以指定服务账户运行Peer
      containers:
      - image: postfinance/hlfabric-k8scc:2.2.1-k8scc0.0.8 # 使用适当的镜像和标签
        env:
        - name: K8SCC_CFGFILE
          value: "/opt/k8scc/k8scc.yaml"                   # 指向默认配置文件
        volumeMounts:
        - mountPath: /var/lib/k8scc/transfer/              # 挂载传输PV
          name: transfer-pv
      volumes:
      - name: transfer-pv
        persistentVolumeClaim:
          claimName: k8scc-transfer-pv                     # 传输PV的默认PVC名称

更完整的示例可参考example目录。如需自定义镜像或资源，需使用自定义的k8scc.yaml配置文件。若使用自定义core.yaml，需配置启动器，可参考此补丁。注意，无法通过环境变量注入此数据结构。

开发

标签

版本标签定义如下，支持为不同Peer版本创建（热修复）分支：

• {{ peer version }}-k8scc{{ k8scc version }}：生产环境推荐标签格式
• v{{ k8scc version }}：k8scc开发内部使用标签格式

示例：

• 2.2.1-k8scc0.0.8：Peer v2.2.1，k8scc v0.0.8
• v0.0.8：k8scc v0.0.8，Peer版本未定义

发布流程

发布新版本k8scc的步骤：

1. 在Dockerfile中设置所需的Peer版本
2. 运行prepare_release
3. 提交更新的依赖项变更（如有）
4. 将prepare_release生成的标签设置到最新提交

实现步骤

该软件实现了外部链码启动器和构建器的四个部分：detect、build、release、run。

Step detect

detect步骤检查metadata.json，确认定义的平台（如golang）在Hyperledger Fabric中是否可用，以及k8scc.yaml中是否配置了适当的镜像。

Step build

build步骤负责构建链码，确保与内部构建流程兼容。

准备阶段：

1. 解析metadata.json并检查平台（如golang）是否受支持
2. 在传输卷上创建临时目录
3. 在临时目录中复制提供的链码源代码，并创建构建输出的空目录

随后创建构建器Pod，具有以下特性：

• 名称格式：{{ peer pod name}}-ccbuild-{{ short hash }}
• 挂载传输PV的临时子目录
• 命令与Hyperledger Fabric内部构建器使用的命令相同

监控创建的Pod直至其成功或失败结束，之后执行以下流程：

1. 将构建器Pod的stdout和stderr写入Peer日志
2. 若构建失败：清理所有垃圾（Pod + 临时目录）并退出
3. 将临时目录中的输出数据复制到Peer上的输出目录
4. 将源代码目录中META-INF的数据复制到Peer上的输出目录
5. 将构建信息写入输出目录，以便使用与构建相同的镜像进行启动
6. 清理Pod并删除临时目录

Step release

release步骤仅将META-INF中的数据复制到Peer提供的输出目录。

Step run

run步骤负责启动链码，确保与内部启动流程兼容。

准备阶段：

1. 解析构建信息以提取使用的镜像
2. 在传输卷上创建临时目录
3. 在临时目录中复制构建输出和从chaincode.json提取的证书等工件

随后创建启动器Pod，具有以下特性：

• 名称格式：{{ peer pod name}}-cc-{{ chaincode label }}-{{ short hash }}
• 挂载传输PV的临时子目录
• 执行平台/语言相关的命令以启动链码

监控创建的Pod直至其退出，之后执行以下流程：

1. 将启动器Pod的stdout和stderr写入Peer日志
2. 清理所有垃圾（Pod + 临时目录）