在企業(yè)中采用許可鏈技術是一條充滿挑戰(zhàn)的道路。從根本上來說，基于分布式分類賬的所謂Web3堆棧對于實現(xiàn)復雜的企業(yè)業(yè)務流程是不成熟的。在企業(yè)區(qū)塊鏈平臺中缺失的構建塊中，身份作為新一代企業(yè)解決方案無處不在的挑戰(zhàn)而成為首要的考慮因素。本文將探討一下企業(yè)區(qū)塊鏈解決方案中的身份管理功能以及身份層模型。

在過去五年中，隨著新一代技術的出現(xiàn)，從CA或Microsoft Active Directory等復雜系統(tǒng)過渡到更開放的API驅動平臺，如Okta、Ping IdenTIty、One Login as以及AWS、Azure或Google Cloud等云平臺中的相應堆棧，身份管理行業(yè)迎來了巨大的發(fā)展。這些平臺將身份的功能從專有系統(tǒng)轉移到開放協(xié)議，如SAML、OpenID Connect等。但是，這并不意味著企業(yè)身份管理技術是簡單易用的。恰恰相反，隨著身份功能的發(fā)展，對身份管理解決方案的要求也越來越復雜。查看企業(yè)中當前的身份管理架構，有一些值得強調的特征：

·基于中心化的身份提供機構：企業(yè)身份管理解決方案通常依賴于中心化的身份提供機構，這些身份提供機構接收某種形式的用戶憑證作為輸入，然后輸出身份通證。

·基于身份協(xié)議：目前，很大比例的企業(yè)身份管理解決方案利用SAML、OAuth2等協(xié)議進行交互。

·分散化：企業(yè)環(huán)境中的用戶身份分布在不同的業(yè)務系統(tǒng)或用戶目錄中。結果，不同的應用程序傾向于與用戶身份的不同表示進行交互。

在許可鏈中實現(xiàn)身份功能的基本摩擦

將所有這些特點結合起來，我們可以知道，企業(yè)中的用戶身份分布在許多系統(tǒng)中，但由身份提供機構來具體執(zhí)行。對于身份，在當前的企業(yè)系統(tǒng)架構和區(qū)塊鏈技術領域之間需要解決兩個根本性的摩擦。

·共識與身份

·中心化與去中心化的身份斷言（asserTIon）

企業(yè)系統(tǒng)架構和區(qū)塊鏈技術領域的根本性摩擦

共識與身份

在許可鏈的場景中啟用身份管理功能與去中心化層的基本原則產(chǎn)生了摩擦。區(qū)塊鏈技術的最大貢獻在于，我們第一次在計算機科學史上擁有一個模型，在這個模型中，我們可以信任數(shù)學和密碼學而不是中心化的實體。以該原則為基礎，區(qū)塊鏈的架構是基于共識協(xié)議發(fā)展的。而在去中心化的世界中，身份還不是一個基本的構建塊，因為網(wǎng)絡的動態(tài)需要先達到最佳的決策過程。

基于計算的區(qū)塊鏈堆棧共識模型從根本上與企業(yè)解決方案存在很大不同，在企業(yè)解決方案中，參與者的身份是已知的。從這個意義上說，你可以認為，共識協(xié)議在已知身份的世界中可以提供的好處很少。

中心化與去中心化的身份斷言

當前企業(yè)身份管理系統(tǒng)的架構依賴于中心化機構來創(chuàng)建關于用戶身份的斷言。將該模型與分布式分類賬架構（其中斷言將分布在參與者網(wǎng)絡中）進行協(xié)調絕非小事。理想情況下，我們需要一種模型，其中身份斷言以加密安全的方式進行編碼并上鏈，然后分發(fā)給相關的網(wǎng)絡實體。

許可鏈中去中心化身份的構建塊

為了應對上一節(jié)中列出的一些挑戰(zhàn)，我們發(fā)現(xiàn)有一些技術組件對于許可鏈架構或許非常有用。

權威證明（PoA）

權威證明（PoA）是一種共識機制，依賴于身份作為第一類物件（可以在執(zhí)行期創(chuàng)造并作為參數(shù)傳遞給其他函數(shù)或存入一個變數(shù)的實體）。在PoA網(wǎng)絡中，通過引用驗證者列表來實現(xiàn)共識。驗證者是一組允許參與共識的帳戶/節(jié)點；他們驗證交易和區(qū)塊。 PoA不需要解決計算成本非常高的謎題來提交交易。相反，交易只需要由大多數(shù)驗證者簽署，在這種情況下，它成為永久記錄的一部分。

對于企業(yè)區(qū)塊鏈場景，PoA共識也是很實用的，因為它可以充分利用用戶和系統(tǒng)的現(xiàn)有身份。目前已經(jīng)有許多與許可鏈相關的PoA共識實現(xiàn)，包括Parity和Microsoft Azure。

去中心化的身份協(xié)議

為了實現(xiàn)去中心化身份，需要對身份重新進行架構，將許多傳統(tǒng)的身份動態(tài)轉移到去中心化的參與者網(wǎng)絡中。

在過去的20年里，微軟一直是身份管理領域的領先者之一，但它們也意識到區(qū)塊鏈需要新的身份模型。受到DIF（去中心化身份基金會）啟發(fā)，微軟最近提出了一種前瞻性架構，以支持區(qū)塊鏈的去中心化身份。 Microsoft的架構包括以下組件：

·W3C去中心化身份標識（DID）：用戶創(chuàng)建、擁有和控制獨立于任何組織或政府的ID。DID是連接到去中心化公鑰基礎設施（DPKI）元數(shù)據(jù)（元數(shù)據(jù)由包含公鑰材料、身份驗證描述符和服務端點的JSON文檔組成）的唯一全局性標識。

·去中心化系統(tǒng)：DID植根于去中心化系統(tǒng)，提供DPKI所需的機制和功能。

·DID用戶代理（User Agents）：使真人能夠使用去中心化身份的應用程序。用戶代理應用有助于創(chuàng)建DID，管理數(shù)據(jù)和權限以及簽署/驗證與DID相關的聲明。

·DIF通用解析器：一種服務器，利用DID一系列驅動程序為不同客戶端和去中心化系統(tǒng)中的DID提供標準的查找和解析方法，并返回封裝了與DID相關DPKI元數(shù)據(jù)的DID文檔對象。

·DIF身份中心（hub）：加密個人數(shù)據(jù)存儲的復制網(wǎng)格（replicated mesh），由云和邊緣實例（如移動電話、PC或智能揚聲器）組成，可促進身份數(shù)據(jù)存儲和身份交互。

·DID 證明：DID簽署的證明基于標準格式和協(xié)議。它們使身份所有者能夠生成、呈現(xiàn)和驗證聲明。這構成了系統(tǒng)用戶之間信任的基礎?！?/p>

對于許可鏈，去中心化的身份協(xié)議在傳統(tǒng)的企業(yè)身份管理系統(tǒng)和區(qū)塊鏈DApp之間提供了清晰的橋梁。

零知識證明身份存儲（IdenTIty Stores）

證明、聲明以及去中心化hub的概念是去中心化身份模型的一些最重要的原則。一個有趣的想法是將去中心化hub與零知識證明協(xié)議（如zk-SNARK）相結合，為DID增加另一層的隱私，同時允許其他協(xié)議驗證身份證明。筆者喜歡將這個概念稱為零知識儲存，并且這一概念已被uPort等協(xié)議所支持。

在零知識身份存儲模型中，與用戶身份相關的斷言將使用zk-SNARK進行編碼并在鏈上發(fā)布。智能合約可以驗證關于用戶身份的斷言，而不會泄露有關基礎用戶身份的任何信息，從而在執(zhí)行高級別隱私的同時維持鏈上的執(zhí)行。

小結

身份是許可鏈應用程序的基本構建塊之一，需要解決這一問題才能實現(xiàn)許可鏈的主流采用。 去中心化身份基金會（DIF）等機構的努力將引領傳統(tǒng)身份系統(tǒng)與區(qū)塊鏈新世界之間的融合。 雖然該領域已有一些協(xié)議和工具，但在企業(yè)區(qū)塊鏈解決方案中實現(xiàn)身份功能仍然是一項相當復雜的工作。