S7-1500 CPU 的客戶端證書處理

時間：2021-07-29作者：上海騰希電氣技術(shù)有限公司瀏覽：276

S7-1500 CPU 的客戶端證書處理



客戶端證書來自何處？

如果使用 S7-1500 CPU 的 OPC UA 客戶端（OPC UA 客戶端已啟用），則可按照以下章節(jié)中的詳細(xì)介紹，使用 STEP 7 V15.1 及較高版本為這些客戶端創(chuàng)建證書。

如果使用來自制造商或 OPC 基金會的 UA 客戶端，則會在安裝期間或在**調(diào)用程序時自動生成客戶端證書。在 STEP 7 中，需要通過全局證書管理器導(dǎo)入這些證書，并在相應(yīng)的 CPU 中使用。

如果自行編寫 OPC UA 客戶端程序，則可以通過程序生成證書。也可通過工具生成證書（如，使用 OpenSSL 或 OPC 基金會的證書生成器）：

有關(guān)使用 OpenSSL 的操作步驟，請參見此處：“用戶自己生成 PKI 密鑰對和證書”。

有關(guān)使用 OPC 基金會的證書生成器的步驟，請參見此處：“創(chuàng)建自簽名證書”。

S7-1500 CPU 的 OPC UA 客戶端證書

僅當(dāng) OPC UA 服務(wù)器將 OPC UA 客戶端證書歸類為可信任證書時，服務(wù)器與客戶端之間才能建立安全連接。

因此，需要讓服務(wù)器知曉該客戶端證書。

在以下章節(jié)中，將介紹較初如何為 S7-1500 CPU 的 OPC UA 客戶端生成證書，并提供給服務(wù)器。

1.生成并導(dǎo)出客戶端證書

要進(jìn)行安全連接，需生成一個客戶端證書，如果服務(wù)器和客戶端位于不同項(xiàng)目中，還需要導(dǎo)出該證書。

如果客戶端和服務(wù)器位于相同項(xiàng)目中，則*導(dǎo)出客戶端以及進(jìn)行后續(xù)導(dǎo)入。

要求

CPU 的 IP 接口已組態(tài)，IP 地址可用。

背景：在“主題備用名稱 (SAN)”(Subject Alternative Name (SAN)) 中，輸入用于訪問系統(tǒng)中該 CPU 的 IP 地址。

創(chuàng)建 OPC UA 客戶端接口

為 S7-1500 CPU 生成客戶端證書的較簡單方法是組態(tài)一個客戶端接口。

為選擇或生成客戶端證書而提供的客戶端接口的組態(tài)，參見“創(chuàng)建和組態(tài)連接”。

或者可按以下方法生成客戶端證書：

在項(xiàng)目樹中，選擇將用作客戶端的 CPU。

雙擊“設(shè)備組態(tài)”(Device configuration)。

在該 CPU 的屬性中，單擊“保護(hù)和安全 > 證書管理器”(Protection & Security > Certificate manager)。

在“設(shè)備證書”(Device certificates) 表格中，雙擊“<新增>”(<Add new>)。

在 STEP 7 中，將打開一個對話框。

單擊“添加”(Add) 按鈕。

從“使用”(Usage) 列表選擇“OPC UA 客戶端”(OPC UA client) 條目。

單擊“確定”(OK)。

此時，STEP 7 將在“設(shè)備證書”(Device certificates) 表格中顯示該客戶端證書。

如果服務(wù)器位于另一項(xiàng)目中：右鍵單擊此行，并從快捷菜單中選擇“導(dǎo)*書”(Export certificate)。

選擇該客戶端證書的目標(biāo)存儲目錄。

2.向服務(wù)器通告該客戶端證書

用戶需要將該客戶端證書發(fā)送至服務(wù)器，以便允許建立安全連接。

為此，請執(zhí)行以下操作步驟：

如果客戶端是在另一項(xiàng)目中組態(tài)的，并且已在該項(xiàng)目中創(chuàng)建并導(dǎo)出客戶端證書：

- 選擇服務(wù)器本地證書管理器中的“使用證書管理器的全局安全設(shè)置”(Use global security settings for certificate manager) 選項(xiàng)。這會使全局證書管理器可用。

可以在用作服務(wù)器的 CPU 的特性“保護(hù)和安全 > 證書管理器”(Protection & Security > Certificate manager) 下找到此選項(xiàng)。

- 如果項(xiàng)目未受保護(hù)，請在 STEP 7 的項(xiàng)目樹中選擇“安全設(shè)置 > 設(shè)置”(Security settings > Settings)，然后單擊“保護(hù)此項(xiàng)目”(Protect this project) 按鈕并登錄。

“全局安全設(shè)置”(Global security settings) 菜單項(xiàng)隨即顯示在 STEP 7 項(xiàng)目樹的“安全設(shè)置”(Security setting) 下。

- 雙擊“全局安全設(shè)置”(Global security settings)。

- 雙擊“證書管理器”(Certificate manager)。

STEP 7 將打開全局證書管理器。

- 單擊“設(shè)備證書”(Device certificates) 選項(xiàng)卡。

- 在此選項(xiàng)卡的空白區(qū)域（而非證書上）中，右鍵單擊鼠標(biāo)。

- 選擇“導(dǎo)入”(Import) 快捷菜單。

將顯示用于導(dǎo)入證書的對話框。

- 選擇服務(wù)器信任的客戶端證書。

- 單擊“打開”(Open)，導(dǎo)入證書。

客戶端證書現(xiàn)已包含在全局證書管理器中。請留意剛剛導(dǎo)入的客戶端證書 ID。

單擊用作服務(wù)器的 CPU 的特性中的“常規(guī)”(General) 選項(xiàng)卡。

單擊“OPC UA > 服務(wù)器 > 安全 > 安全通道”(OPC UA > Server > Security > Secure Channel)。

在“安全通道”(Secure Channel) 對話框中向下滾動至“受信客戶端”(Trusted clients) 部分。

雙擊表中空行的“<新增>”(<add new>)。隨即會在該行中顯示瀏覽按鈕。

單擊該按鈕。

選擇準(zhǔn)備好的客戶端證書。

單擊帶有綠色復(fù)選標(biāo)記的按鈕。

編譯項(xiàng)目。

將組態(tài)加載到 S7-1500 CPU（服務(wù)器）。

結(jié)果

服務(wù)器現(xiàn)已信任此客戶端。如果還將服務(wù)器證書視為受信證書，則服務(wù)器和客戶端之間可建立安全連接。


上海騰希電氣技術(shù)有限公司專注于西門子PLC,V90伺服,V20變頻器等, 歡迎致電 13681875601

• 詞條

  詞條說明

• 路由功能 分配 IP 地址

  分配 IP 地址組態(tài)選項(xiàng)設(shè)備出廠時或恢復(fù)為出廠設(shè)置后，沒有 IP 地址?？赏ㄟ^以下方法將 IP 地址分配給設(shè)備：DHCP（默認(rèn)設(shè)置）Primary Setup Tool有關(guān)詳細(xì)信息，請參見《Primary Setup Tool》組態(tài)手冊。 可在 Internet 上 SIEMENS 工業(yè)自動化與驅(qū)動產(chǎn)品部門的服務(wù)與支持中心的條目 ID?19440762?下找到 MIB。STEP

• MC-PreServo OB

  MC-PreServo OBDescriptionThe organization block MC?PreServo?[OB67] can be programmed and is called in the application cycle configured at the MC?Servo?[OB91]. The MC?PreServo?[OB67] is

• RS232 模式（CP 34x、44x、CPU 31xC-2 PtP + ET 200S 1SI）

  RS232 模式（CP 34x、44x、CPU 31xC-2 PtP + ET 200S 1SI）RS232C 伴隨信號具有 RS232C 接口的模塊上提供以下 RS232C 伴隨信號：DCD（輸入）數(shù)據(jù)載體檢測DTR（輸出）數(shù)據(jù)終端準(zhǔn)備就緒；模塊已做好運(yùn)行準(zhǔn)備DSR（輸入）數(shù)據(jù)集就緒；通信伙伴已做好運(yùn)行準(zhǔn)備RTS（輸出）請求發(fā)送，模塊已做好發(fā)送準(zhǔn)備CTS（輸入）允許發(fā)送；通信伙伴可以從模塊接收數(shù)

• 移植項(xiàng)目文本

  移植項(xiàng)目文本移植一個初始項(xiàng)目時，諸如塊標(biāo)題和塊注釋之類的項(xiàng)目文本可在 TIA Portal 中調(diào)整。但系統(tǒng)將只移植初始項(xiàng)目中所設(shè)定的編輯語言的項(xiàng)目文本。其它語言的項(xiàng)目文本不會移植。