Skip to main content

OPC UA Zertifikate verwalten

Verschlüsselung durch Zertifikate

Um die Zertifikate der Steuerung im Programmiersystem verwalten zu können, ist eine Konfiguration in der Ansicht Security-Screen erforderlich. Installieren Sie dafür gegebenenfalls das Add-on CODESYS Security Agent.

Wichtig

Die Verwendung von Zertifikatsketten wird empfohlen. In dieser Konfiguration müssen Zwischen-CA-Zertifikate nicht im Zertifikatsspeicher auf dem Laufzeitsystem abgelegt und aktualisiert werden. Dadurch sind in der Regel keine Konfigurationsänderungen auf der SPS erforderlich, wenn ein Client-Zertifikate erneuert oder ausgetauscht wird.

Zertifikat für den OPC UA Server erzeugen

Um Daten verschlüsselt und sicher mit dem Client austauschen zu können, benötigt der OPC UA Server ein Zertifikat. Dieses muss vom Client beim ersten Verbindungsaufbau als vertrauenswürdig eingestuft werden.

  1. Öffnen Sie im Programmiersystem ein OPC UA Server-Projekt. Starten Sie das passende Laufzeitsystem auf der Steuerung. Durchsuchen Sie im Geräteeditor das Netzwerk und verbinden Sie sich mit dem gewünschten Zielsystem. Der aktive Pfad zur Steuerung ist gesetzt.

    Die Verbindung ist aktiv und grün.

  2. Wählen Sie den Befehl Ansicht → Security-Screen.

  3. Wechseln Sie zur Registerkarte Geräte.

  4. Selektieren Sie in der linken Ansicht (unter Information) Ihr Gerät.

    In der rechten Ansicht werden alle Dienste der Steuerung, die ein Zertifikat erfordern, angezeigt.

  5. Selektieren Sie den Dienst OPC UA Server.

  6. Erzeugen Sie ein neues Zertifikat für das Gerät. Klicken Sie dazu auf das Icon _cds_img_create_certificate.png.

    Es öffnet sich der Dialog Zertifikatseinstellungen.

  7. Definieren Sie die Parameter des Zertifikats und schließen Sie den Dialog mit OK.

    Das Zertifikat wird auf der Steuerung erzeugt.

    _cds_img_own_certificates.png

  8. Führen Sie einen Neustart des Laufzeitsystems durch.

Vertrauenswürdige CA-Zertifikate für den OPC UA Server installieren

Wenn ein OPC UA Client ein Zertifikat einer vertrauenswürdigen Zertifizierungsstelle (CA) besitzt, muss diese CA auch im OPC UA Server als vertrauenswürdig eingetragen sein. Dazu wird die CA unter "Vertrauenswürdige Zertifikate" installiert.

Um Zertifikatssperrlisten (CRL) der CAs zu installieren, sind folgende Schritte notwendig:

  1. Übertragen Sie die CRLs per Filetransfer in das cert/import-Verzeichnis.

  2. Führen Sie das folgende SPS-Shell Kommando aus:

    cert-importcrl

Zertifikatsketten verwenden

Seit V3.5 SP22 unterstützen sowohl der OPC-UA-Server als auch der Client standardmäßig die Validierung von Zertifikatsketten, die über das OPC UA-Protokoll übertragen werden.

  • Falls ein Clients die Zertifikatsketten beim Verbindungsaufbau überträgt, ist keine weitere manuelle Konfiguration von Zwischen-CAs erforderlich.

  • Falls die verwendeten OPC UA Clients die Zertifikatsketten nicht über das OPC UA Protokoll übertragen, ist eine manuelle Konfiguration der Zwischen-CAs erforderlich.

    Dazu müssen die Zertifikate der Zwischen‑CAs separat installiert werden. Sie werden per Dateiübertragung in das Verzeichnis OPCUAServer/Intermediate auf der SPS kopiert. Nach der Übertragung werden diese Zertifikate automatisch durch den OPC UA Server verwendet.

Zertifikatsketten senden

Seit Version 3.5 SP22 übertragen sowohl der OPC UA Server als auch der OPC UA Client standardmäßig – sofern möglich – komplette Zertifikatsketten beim Verbindungsaufbau.

Für weitere Informationen siehe: Zertifikate auf der SPS

Die Zertifikatsketten werden verwendet, wenn für den OPC  UA Server oder Client ein CA‑signiertes Zertifikat erstellt wurde und die entsprechenden Zwischen‑CAs auf der SPS eingerichtet sind. Dies erfolgt derzeit durch die Installation eines PKCS#12‑Containers (.p12i-Datei), der die vollständige Zertifikatskette enthalten kann. Ein PKCS#12‑Container ist ein geschützter Behälter für den privaten Schlüssel und die Zertifikate.

Für den Fall, dass bestimmte OPC UA Applikationen Zertifikatsketten nicht korrekt verarbeiten können, ist es möglich, dass die Übertragung von Zertifikatsketten durch den OPC UA Server (und Client) deaktiviert wird. Dazu muss die Gerätesicherheitseinstellung SendCertificateChains des OPC UA Servers (oder Clients) auf NO gestellt werden.

Für weitere Informationen siehe: Gerätesicherheitseinstellungen (OPC UA Server)

In diesem Abschnitt: