Die Kommunikation zwischen einem OPC UA Server und einem Client lässt sich auf verschiedenen Sicherheitsstufen absichern, von anonymer Verbindung über Benutzername und Passwort bis hin zu Zertifikaten. Eine ausführliche Erklärung der einzelnen Stufen finden Sie in unserem Wissensartikel zu OPC UA im Abschnitt "Sicherheitsmechanismen". Bei der Verwendung von Zertifikaten kann entweder vom Server oder vom Client ein Zertifikat erstellt und zur Authentifizierung verwendet werden.
Wird das Zertifikat von einem Client erstellt, muss es dem Server bekannt gemacht werden. Erstellt umgekehrt der Server das Zertifikat, muss dieses dem Client bekannt gemacht werden. Ein OPC UA Client Zertifikat ist im DatenBerg Gateway enthalten. Dieses muss in der Steuerung hinterlegt werden. Es handelt sich dabei um ein X.509-Applikationszertifikat, das die Software-Installation des Clients identifiziert. TIA Portal unterstützt bei OPC UA ausschließlich diesen Zertifikatstyp, nicht die ebenfalls von der Spezifikation vorgesehenen Software- oder Benutzerzertifikate. Möchte der Client nun Daten über OPC UA abfragen, sendet er das Zertifikat mit. Die Steuerung als OPC UA Server vergleicht dieses mit dem hinterlegten Zertifikat. Bei Übereinstimmung gibt der Server die Daten zurück.
Achtung: Das Zertifikat hat ein Ablaufdatum. Nach diesem Datum muss das Zertifikat dem Server erneut bekannt gemacht werden.
Öffnen Sie in TIA Ihr Automatisierungsprojekt. Danach öffnen Sie unter Gerätekonfiguration der CPU die Registerkarte "Schutz & Sicherheit" und dort die Registerkarte "Zertifikatsmanager". Anschließend setzen Sie hier den Haken bei "Globale Sicherheitseinstellungen für den Zertifikatsmanager verwenden" wie im folgenden Bild dargestellt.
Falls das Projekt noch nicht geschützt ist, empfehlen wir, dies an dieser Stelle nachzuholen. Klicken Sie in der Projektnavigation ganz links unter dem Reiter "Sicherheitseinstellungen" auf "Einstellungen". Öffnen Sie den Reiter und im rechten Bereich sehen Sie die Möglichkeit, das Projekt zu schützen.
Wählen Sie nun in der Projektnavigation im Reiter "Sicherheitseinstellungen" unter "Sicherheitsfunktionen" den Reiter "Zertifikatsmanager". Im oberen Bereich werden nun die hinterlegten Zertifizierungsstellen angezeigt. Klicken Sie nun im rechten oberen Bereich auf "Vertrauenswürdige Zertifikate und Stammzertifizierungsstellen".
Mit einem Klick auf "Zertifikat importieren" können Sie das gewünschte Zertifikat auswählen. Im DatenBerg Gateway Ordner befindet sich dieses unter "App/certs". Wählen Sie hier die Datei mit dem Namen "gateway.der" aus. Das Zertifikat wird nun in der Tabelle angezeigt.
Wechseln Sie nun in der Projektnavigation in die Gerätekonfiguration der CPU und öffnen Sie unter OPC UA / Sicherheit den Reiter "Zertifikate". Im Bereich "Trusted Clients" können Sie nun das Zertifikat auswählen und hinterlegen. Klicken Sie dazu auf "Neu hinzufügen" und doppelklicken Sie auf den leeren Zertifikatsinhaber. Im sich öffnenden Fenster wählen Sie das Zertifikat aus.
Um ein OPC UA Client Zertifikat auf einer Siemens S7 1200/1500 zu hinterlegen, sind vier Schritte notwendig: Zertifikatsmanager auf globale Sicherheitseinstellungen setzen, das Projekt schützen, das Zertifikat importieren und es abschließend im Bereich "Trusted Clients" der OPC UA Sicherheitseinstellungen hinzufügen. Voraussetzung ist ein bereits aktivierter OPC UA Server auf der Steuerung. Danach kann sich der Client, zum Beispiel das DatenBerg Gateway, gegenüber dem Server authentifizieren.
Brauche ich eine separate Lizenz, um ein OPC UA Client-Zertifikat zu hinterlegen?
Nein. Die OPC UA Runtime-Lizenz, die beim Aktivieren des Servers ausgewählt wird, deckt sowohl die Server- als auch die Client-Funktionalität ab. Das Hinterlegen eines Zertifikats ist eine reine Sicherheitskonfiguration und erfordert keine zusätzliche Lizenz.
Welcher Zertifikatstyp wird bei OPC UA in TIA Portal verwendet?
Es handelt sich um ein X.509-Applikationszertifikat, das die jeweilige Software-Installation von Client oder Server identifiziert. Die OPC UA Spezifikation sieht zusätzlich Software- und Benutzerzertifikate vor, TIA Portal unterstützt jedoch nur Applikationszertifikate.
