- 登记证书颁发机构 (ECA)。ECA 使新用户能向区块链网络注册，并在以后请求一个登记证书对。这个证书对包含两个证书，一个用于数据签名，另一个用于数据加密。
- 事务证书颁发机构 (TCA)。用户在区块链网络中登记后，可以请求事务证书 (TCert)。要在区块链网络上部署链代码和调用链代码事务，需要使用 TCert。也可以在 TCert 中嵌入经过加密的用户定义属性。然后可以在链代码中访问这些属性来执行访问控制。一种确保隐私的最佳做法是为每个事务请求一个不同的 TCert。这是该 SDK 的默认行为。
- TLS 证书颁发机构。TLS 证书保护客户端、对等节点和 CA 之间的通信渠道。TLS 证书可从 TLS 证书颁发机构 (TCA) 请求获得。
- 属性证书颁发机构 (ACA)。ACA 将每个用户的属性和从属关系存储在一个数据库中。它证明某个特定用户是否拥有这些属性。对于经过认证的属性，ACA 会返回一个 ACert，其中包含加密的属性值。
在上图中：- 用户向 ECA 发出注册请求并传入一个登记 ID、角色、从属关系和属性键值对等信息。
- 如果传入的登记 ID 尚未注册，那么 ECA 会向用户回复一个一次性密码。
- 用户向 ECA 发出登记请求，并传入一个签名和加密密钥，以及在上一步中获得的一次性密码令牌。
- 完成验证后，ECA 会返回一个登记证书对。这个证书对包含两个证书，一个用于签名，另一个用于加密。然后，这个证书对连同其他用户元数据一起被存储在链对象中配置的键值存储中。
- ECA 向 ACA 发出一个获取属性请求，并传入第 4 步中生成的 ECert。
- ACA 将 ECert 连同其他细节一起存储在它的数据库中，这些细节包括从属关系、属性键/值对和它们的有效性等。
- 用户向 TCA 请求 TCert，TCert 可用于调用链代码。用户传入 ECert、要生成的 TCert 数量和一组属性，这些属性可以是第 1 步中传入的一组属性的子集。
- TCA 向 ACA 发出请求，以确保用户拥有这些属性。TCA 传入 ECert 和这组属性。
- ACA 在其数据库中查找这些属性。
- 如果未找到任何属性，则返回一个错误。如果找到所有或部分属性，则将一个包含已找到的属性的 ACert 返回给 TCA。
- TCA 创建一批 TCert 并将它们返回给用户。每个 TCert 都包含有效的属性。