操作方法：处理IDE和PLC的证书
加密证书CODESYS Development System或者，用于与PLC通信的证书可以是自签名证书或CA签名证书。所使用的证书级别取决于安全需求。您可以使用专用工具或在……中创建证书。CODESYS环境。
CA签名的证书
由 CA 签名的证书必须由受信任的外部机构创建。认证机构（CA）或由位于运营商设施内的 CA 签发证书。要获得 CA 签名的证书，您可以将自行生成的证书通过以下方式发送给 CA：证书签名请求（CSR），然后将其重新安装到您的计算机或PLC上。
CA 的扩展
CA 使用来自以下来源的数据：证书签名请求使用 CSR 创建 PLC 的 X.509 证书。签署 CSR 时，需要从 CSR 传输以下 x509v3 扩展：
关键用途，扩展按键用法，学科备选名称，每个都带有批判的旗帜
自签名证书
您可以使用自己的私钥创建自签名证书。这些证书并非由证书颁发机构 (CA) 签名。当您创建自签名证书时，CODESYS在环境中，您可以通过对话框和加密向导获得帮助。
提示
自签名证书可用于测试目的。它也可以作为临时解决方案，直到获得由证书颁发机构 (CA) 签名的证书为止。
将证书存储在 Windows 证书存储区中
本地 Windows 计算机上的证书管理
用于加密的有效证书CODESYS项目以及PLC和CODESYS Development System必须存储在本地 Windows 证书存储中（certmgr在您的电脑上。
这个 安全屏幕 为项目的证书处理以及与 PLC 通信所需的证书提供了接口。如果是两者之间的沟通 CODESYS 还有 PLC， 安全屏幕 提供了中相应命令的替代方案 PLC 外壳 设备编辑器的。
PLC上的证书管理这是系统操作员的责任。
哪些内容可以使用证书进行加密或签名？
在CODESYS Package Designer添加在 | |
通过项目设置对话 | |
使用以下功能 | |
另存为已编译库文件时 | |
在这种情况下，加密向导会立即提供创建证书的支持。特性应用程序对话框。 | |
首次连接到受保护的控制器时，系统会立即提供创建用于与控制器进行加密通信的证书的功能。此证书最初仅具有临时有效期。 | |
从版本 V1.35.0.0 开始，您将收到有关设置证书加密通信的说明。CODESYS Automation Server支持快速设置对话。 | |
在安全屏幕在设备选项卡，或通过 浏览器要将证书视为安全证书，该证书必须由受信任的证书颁发机构 (CA) 签名。 | |
如果运行时系统需要加密通信，则在首次启动时立即提供支持。 | |
在安全屏幕 签署 CSR 时，需要从 CSR 转移以下 x509v3 扩展：
每个都与 | |
在可视化元素库对话 |
PLC 证书
保密性
处理 PLC 证书时，必须区分用户的角色。系统操作员需要确保只有系统管理员角色的用户才能在 PLC 证书存储中配置和续订证书。
只有系统管理员才能创建、续订或更改证书吊销列表中的证书。访问PLC证书存储区对于安全至关重要。
将 PLC 证书存储在 Windows 证书存储区中
PLC 证书存储库的配置定义了 PLC 期望获得有效证书的用例。将此所需的证书安装到本地 Windows 证书存储区中的计算机上。
CODESYS 简化了必要的 PLC 证书的颁发和管理。为此，请使用加密向导和 设备 中的选项卡 安全屏幕 观点。或者，你也可以使用 PLC 外壳 设备编辑器的命令来执行此操作。在这两个地点，您将看到当前连接的 PLC 的证书存储区，并可以在那里颁发证书。这两个位置还概述了PLC上所有需要证书的 “用例”。它们显示证书是否已经存在。用例示例包括 加密通信 和 OPC UA 服务器。
在每个使用场景中，CODESYS首先检查所需的证书是否在本地作为受信任证书提供Windows 证书存储。
自签名证书
如果您没有证书颁发机构 (CA)，则可以自己签署证书。如果某个用例（例如 OPC UA 服务器）未在 PLC 上安装有效的证书，则可以颁发自签名证书。为此，要么使用 安全屏幕 或者 PLC 外壳 在 CODESYS。自签名证书将在中颁发 用例 类别。
服务器/客户端应用程序的一个常见用例是在充当服务器的 PLC 上发布证书签名请求 (CSR) 或自签名证书。然后，证书由充当服务器的 PLC 上传到 PC CODESYS 然后从那里下载到充当客户端的 PLC。为了让客户端信任服务器，必须将证书移至信任级别 值得信赖 请注意，证书也可以移至其他信任级别。
例如，由于 CRL，证书被归类为不可信证书，或者由于 PLC 本身无法立即检查它们，因此它们处于隔离状态以进行明确验证。检查完成后，您可以将证书移至 可信证书 类别。您也可以从 PLC 中删除证书。
更多信息请参见以下内容：操作方法：生成自签名证书
CA 签名证书
要获得更高的安全级别，应将自签名证书替换为 CA 签名证书。如果您还没有 CA 签名的证书，则可以向 CA 申请。为此，请导出相应的 企业社会责任 来自 安全屏幕 或者通过 PLC 外壳 到本地文件系统。返回 CA 签名证书后，将其导入 PLC 证书存储区和本地 Windows 证书
可以直接通过以下方式创建企业社会责任报告 (CSR)： PLC外壳并且CODESYS Security Agent V1.4.0.0 及更高版本也来自安全屏幕（设备（标签）。
注意
在签名过程中，CA 将 CSR 中的所有扩展名应用到证书中，不做任何更改。这个 密钥用法， 扩展密钥用法，以及 主题备用名称 字段必须与其一起保留 关键 标志。CA 不得删除任何这些字段。
更多信息请参见以下内容：
自动扫描证书
同一用例需要多个证书
如果 PLC 上有多个证书可用于一个用例，则系统将使用以下顺序步骤来确定要使用哪个证书：
使用用户直接创建的证书。（目前暂不考虑！）
通过以下方式筛选现有证书：
主题（证书的用户）
密钥用法
扩展密钥用法
有效的时间戳
将检测到的有效证书划分为 “已签名” 和 “自签名”
首先筛选已签名证书，然后根据以下标准筛选自签名证书：
最长有效期
最强钥匙
证书续期
系统操作员需要确保及时续订证书。有关更多信息，请参阅： 操作方法：续订证书
证书吊销列表
目前只能通过PLC Shell更改证书吊销列表。只有系统运营商的系统管理员才能更改此吊销列表。
证书链
在根 CA 和 OPC UA 服务器或客户端的最终证书之间存在一个或多个中间 CA 证书。如有必要，可以轻松吊销和替换此中间证书层，而无需更改根 CA。
支持证书链是提高用户友好性和简化配置的重要措施。
除了实际使用的 X.509 证书之外，证书链还包含相应的中间 CA 证书和根 CA 证书。这些额外的证书是验证整个证书链直至受信任的根 CA 所必需的。X.509 证书是一种唯一的数字证书，用于标识特定的实体（例如，用户、设备或软件）。
除了实际使用的 X.509 证书之外，证书链还包含相应的中间 CA 证书和根 CA 证书。这些额外的证书是验证整个证书链直至受信任的根 CA 所必需的。X.509 证书是一种唯一的数字证书，用于标识特定的实体（例如，用户、设备或软件）。
CA中间证书无需传输到PLC。这减少了配置工作量。
只要在 PLC 上配置受信任的根证书（来自根 CA）即可。
如果链发生变化，例如由于中间证书过期，则无需在验证 PLC 上重新配置中间证书。