TOP Server OPC Server教程：技术支持系列之保护OPC UA数据安全

---

TOP Server OPC Server采用业界领先的Kepware技术，是Software Toolbox's OPC和原生HMI设备的连接软件，也是一款多线程应用程序，能够利用最新的双核处理器和多处理器技术最大化您的性能。其灵活而强大的功能可最大程度降低项目的生命周期成本；模块化架构和通用用户界面可以降低您的培训成本，因为在不同的驱动程序中使用了100种常用方法，帮助您学习TOP Server，并快速应用与其他驱动程序相同的知识。

点击下载TOP Server OPC Server最新试用版

随着工业4.0对安全性的不断提高的要求，OPC UA为我们提供了一种在客户端和服务器之间传输数据时对数据进行加密的方法。但是，如果对数据进行加密以防止外部提取还不够呢？如果UA客户端应用程序受到威胁怎么办？我们必须使用哪些工具来防止故意或意外地操纵或消耗数据？

继续我们的技术支持专栏文章xilie，该文章涵盖如何利用内置的TOP服务器用户组安全性设置以及OPC UA用户名和密码身份验证来更好地控制哪些用户具有读/写功能以及哪些标记。允许用户访问。

查看我们有关OPC UA分层安全模型的文章，则该模型的最上方是用户身份验证和会话安全性的概念。借助TOP Server，利用其用户组安全性设置以及OPC UA的用户名和密码验证，TOP Server可以对访问关键过程数据进行更细粒度的控制。

要访问保护数据所需的这些功能，首先需要确保已安装TOP服务器安全策略插件。此插件是在5.12版中作为付费插件引入的。借助TOP Server版本6主要发行版本的即开即用安全功能，现在将安全策略插件作为标准功能包括在内，而无需其他许可。

下图突出显示了在新的TOP Server安装上启用这些功能所必需的步骤。当前正在运行TOP Server的用户也可以选择激活这些设置。它只需要再次运行安装程序并在开始时选择“修改”即可。如果没有最新的TOP Server安装程序，则可以在此处下载TOP Server。

首先运行TOP Server安装程序，然后继续安装过程，并根据要求适当处理所有提示。提示您选择要安装的功能和设备驱动程序后，请确保启用“安全策略”插件。

为此，请展开“插件”下拉菜单，然后右键单击“安全策略”，然后选择“将在本地硬盘驱动器上安装整个功能集”。继续安装，再次适当解决其他提示并完成安装。现在，TOP服务器已完成安装，我们可以开始配置安全策略。

保护您的工业过程数据

让我们首先确保UA客户端的用户连接到TOP服务器需要用户名和密码身份验证。打开“ TOP服务器配置”窗口，然后右键单击配置窗口左上角标有“项目”的文件夹，然后选择“属性”。

在此处，单击OPC UA选项卡，并确保将“允许匿名登录”选项设置为“否”。从这里，我们可以关闭配置窗口。

接下来，我们要打开TOP Server Administrator设置并添加“用户”和“用户组”。为此，您需要右键单击Windows系统托盘中的TOP Server Administrator图标，选择“设置”，然后选择“用户管理器”选项卡。

默认情况下，您将启用三个组，每个组一个用户。为了我们的目的，我们将创建一个小组和一个我们自己的用户。为此，我们需要：
1、单击“新建组”按钮，并将新的用户组添加到此TOP Server实例：

• 在这里，您可以管理网上论坛的名称，说明以及该网上论坛拥有的权限
• 在这里，您可以通过右键单击下拉列表并选择“全部允许”或“全部拒绝”来允许或拒绝访问整个标签组此特定部分确实对我们前面提到的特定单个标签应用了粒度访问，但是从总体上控制了用户对整体服务器级权限的访问。
• 对于此演示，我已启用对新用户组“ User Group A”的所有标签的访问权限

2、选择新创建的组后，单击“新用户”按钮以将新用户添加到该新组：

• 在这里，我们指定用户名，描述和密码。请务必记住您的用户名和密码。
• 密码长度必须为14个字符

现在，随着我们新的用户组和用户的产生，剩下要做的就是管理我们的安全策略。在上一段相同的设置菜单中，单击标签为“安全策略”的选项卡。您将在标有“客户端访问策略”的图标下看到所有可用的用户组，并且应该看到刚创建的组。如果扩展用户组，您将看到五个可以修改的客户端访问策略。

• 动态寻址
• I / O标签
• 系统标签
• 内部标签
• 浏览

每个客户端访问策略都会影响TOP服务器中的特定功能。动态寻址是指所谓的动态标签，动态标签不是在服务器中静态定义的，而是从客户端应用程序传递给我们的。I / O标签是指服务器项目中与设备上的数据点相对应的用户定义的标签，而系统标签是由TOP Server自动生成的诊断标签。内部标记并非适用于所有设备，但您仍可以选择拒绝访问。最后，浏览权限使我们能够管理客户端是否可以浏览OPC Server项目。如果突出显示“客户端访问策略”并单击右侧出现的箭头，则可以选择允许或拒绝整个通道，设备或特定标签的访问。

对于此示例，我将为I / O标签和浏览操作客户端访问策略。首先突出显示I / O标签，单击箭头按钮，然后单击“自定义权限”图标开始配置。从这里，您将看到一个新窗口，其中显示了服务器上当前配置的所有I / O标签。如果突出显示此窗口的任何部分（通道，设备，标签组，单个标签），则可以选择单击另一个箭头按钮，然后选择四个箭头之一 

默认（读/写）选项：

• 不可访问
• 只读
• 读/写

在此示例中，我将为自己提供对模拟设备“ 16位设备”下所有标签的读写权限，为“ 8位设备”下的标签只读权限，而对“功能”下的所有标签无访问权限。按照上述相同的过程，如果打开“浏览”，则可以选择允许或拒绝访问。我们可以选择拒绝访问特定标签，但是在本例中，我拒绝了对“频道1”的浏览访问。

最后，让我们从客户端应用程序（在这种情况下为Unified Automation的UA Expert示例客户端）中查看这些标签。在这篇文章中，我们不会详细介绍SSL加密。相反，我们将专注于安全策略的结果。

对于与TOP服务器的连接，我们只需在客户端应用程序中输入端点URL，相关的加密级别以及用户名和密码即可。如果一切配置正确，您应该会看到TOP Server拒绝或允许访问您指定的标签。在上面概述的示例中，您可以看到发生了一些事情。

• 我没有浏览客户端应用程序中的频道1的权限。
• 我没有对“模拟示例”通道下配置的任何标签的读取或写入权限。

这将产生安全消息，您可以在下面的TOP Server事件日志中看到这些消息：

如您所见，TOP服务器安全策略为管理员提供了必要的工具，以保护您的OPC UA数据以及对各个标签级别的OPC客户端访问进行微调和管理。

---

要购买该产品正版授权，或了解更多产品信息请点击