Hyperledger Fabric调用链码报错：access denied及证书OU验证失败求助

从你提供的错误日志来看，核心问题出在客户端身份证书的组织单元（OU）不符合Hyperledger Fabric的身份验证规则，具体原因可以从peer节点的日志中明确找到：

2019-04-19 06:30:28.563 UTC [protoutils] ValidateProposalMessage -> WARN 15d channel [sntschannel]: creator certificate is not valid: could not validate identity's OUs: the identity must be a client, a peer or an orderer identity to be valid, not a combination of them. OUs: [[0xc003b4b770 0xc003b4b7a0 0xc003b4b7d0]], MSP: [BankMSP]

Fabric要求每个身份证书只能属于单一类型的OU（比如仅为client、peer或orderer），而你当前使用的BankMSP客户端证书包含了多种类型的OU组合，导致peer节点直接拒绝了你的链码调用请求。

具体解决步骤 #

1. 检查当前客户端证书的OU信息 #

先确认你的客户端证书是否真的存在OU组合问题，执行以下命令查看证书详情：

openssl x509 -in <你的客户端证书路径，比如 ./crypto-config/peerOrganizations/bank.example.com/users/User1@bank.example.com/msp/signcerts/User1@bank.example.com-cert.pem> -text -noout

在输出结果中找到Subject字段，查看其中的OU部分，如果出现多个值（比如OU=client, OU=peer），就说明问题确实出在这里。

2. 重新生成符合要求的客户端证书 #

如果你使用cryptogen工具生成加密材料，需要修改crypto-config.yaml配置，确保用户的OU仅设置为client：

PeerOrgs:
  - Name: Bank
    Domain: bank.example.com
    Users:
      Count: 1
      # 明确指定用户的OU为client，避免混合其他类型
      UserOU: client

然后重新生成加密材料：

cryptogen generate --config=./crypto-config.yaml

3. 更新应用程序的身份证书 #

将新生成的客户端证书和对应私钥替换到你的自研前端或REST API服务中，确保调用链码时使用的是仅包含client OU的合法身份。

4. 验证MSP的NodeOUs配置 #

检查BankMSP的config.yaml文件（通常在peer节点的msp/config.yaml或通道配置的MSP定义中），确保NodeOUs配置正确区分了不同身份类型：

NodeOUs:
  Enable: true
  ClientOUIdentifier:
    Certificate: cacerts/ca.bank.example.com-cert.pem
    OrganizationalUnitIdentifier: client
  PeerOUIdentifier:
    Certificate: cacerts/ca.bank.example.com-cert.pem
    OrganizationalUnitIdentifier: peer
  AdminOUIdentifier:
    Certificate: cacerts/ca.bank.example.com-cert.pem
    OrganizationalUnitIdentifier: admin

这个配置告诉Fabric如何通过OU来识别不同角色的身份，确保客户端身份只会被归类为client角色。

完成以上步骤后，重新尝试调用链码，应该就能解决access denied的问题了。

内容的提问来源于stack exchange，提问作者lmc1913