创建 OPC UA 客户端接口为 S7-1500CPU 生成客户端证书的Zui简单方法是组态一个客户端接口。为选择或生成客户端证书而提供的客户端接口的组态，参见“创建和组态连接 (页294)”。或者可按以下方法生成客户端证书：1. 在项目树中，选择将用作客户端的 CPU。2. 双击“设备组态”(Deviceconfiguration)。3. 在该 CPU 的属性中，单击“保护和安全 > 证书管理器”(Protection &Security > Certificatemanager)。4. 在“设备证书”(Device certificates)表格中，双击“<新增>”(<Add new>)。在 STEP 7 中，将打开一个对话框。5.单击“添加”(Add) 按钮。6. 从“使用”(Usage) 列表选择“OPC UA 客户端”(OPC UA client)条目。7. 单击“确定”(OK)。此时，STEP 7 将在“设备证书”(Device certificates)表格中显示该客户端证书。8.如果服务器位于另一项目中：右键单击此行，并从快捷菜单中选择“导出证书”(Exportcertificate)。9.选择该客户端证书的目标存储目录。2.向服务器通告该客户端证书用户需要将该客户端证书发送至服务器，以便允许建立安全连接。为此，请执行以下操作步骤：1.如果客户端是在另一项目中组态的，并且已在该项目中创建并导出客户端证书：–在服务器的本地证书管理器中，选择“使用证书管理器的全局安全设置”(Use globalsecurity settings forcertificate manager) 选项。这将激活全局证书管理器。可以在用作服务器的 CPU 的特性“保护和安全 >证书管理器”(Protection & Security >Certificate manager) 下找到此选项。–如果项目未受保护，请在 STEP 7 的项目树中选择“安全设置 > 设置”(Security settings>Settings)，然后单击“保护此项目”(Protect this project)按钮并登录。“全局安全设置”(Global security settings) 菜单项随即显示在 STEP 7项目树的“安全设置”(Security setting) 下。– 双击“全局安全设置”(Global securitysettings)。– 双击“证书管理器”(Certificate manager)。STEP 7 将打开全局证书管理器。–单击“设备证书”(Device certificates) 选项卡。– 在此选项卡的空白区域（而非证书上）中，右键单击鼠标。–选择“导入”(Import) 快捷菜单。将显示用于导入证书的对话框。– 选择服务器信任的客户端证书。–单击“打开”(Open)，导入证书。客户端证书现已包含在全局证书管理器中。请留意刚刚导入的客户端证书 ID。2. 单击用作服务器的CPU 的特性中的“常规”(General) 选项卡。3. 单击“OPC UA > 服务器 > 安全 >安全通道”(OPC UA > Server > Security > Secure Channel)。4.在“安全通道”(Secure Channel) 对话框中向下滚动至“受信客户端”(Trusted clients) 部分。5.双击表中空行的“<新增>”(<add new>)。随即会在该行中显示浏览按钮。6.单击该按钮。298通信功能手册, 11/2023, A5E03735819-ALOPC UA 通信11.4 将 S7-1500 CPU用作 OPC UA 客户端7. 选择准备好的客户端证书。8. 单击带有绿色复选标记的按钮。9. 编译项目。10.将组态加载到S7-1500CPU（服务器）。结果服务器现已信任此客户端。如果还将服务器证书视为受信证书，则服务器和客户端之间可建立安全连接。11.4.9.3用户认证对于 S7-1500 的 OPC UA 客户端接口，可设置 OPC UA客户端中用户访问服务器时需通过的认证。为此，必须在所请求的 S7-1500 CPU 项目树的“OPC UA 通信 >客户端接口”(OPC UAcommunication > Client interfaces)中选择相应的客户端接口，然后在巡视窗口的“属性 > 组态> 信息安全”(Properties >Configuration > Security) 中选择用户认证方式。用户认证方式可通过以下几种方式进行用户认证：•访客此类用户无需进行身份验证（匿名访问）。CPU 将为该用户创建一个匿名会话，同时 OPCUA服务器也不会对该客户端用户进行身份验证。• 用户名和密码此类用户需证明身份验证（非匿名访问）。OPC UA服务器将检查客户端用户是否具备访问服务器的权限。通过用户名和正确的密码进行身份验证。客户端接口无法检查这些输入，即所有值都将接受为有效值。说明STEP7 会将用户名和密码以未加密形式存储在数据块/背景数据块中。建议：对“用户（TIAPortal - 安全设置）”(User (TIAPortal - security settings)) TIA 项目使用用户认证。• 用户（TIA Portal -安全设置）通过在项目中所输入的用户名列表中输入一个用户名进行验证。在项目树中的用户管理中，通过“安全设置 >用户和角色”(Security Settings > Users and roles)查看当前项目中已注册的用户名称。此外，也可输入其它用户名。用户可输入该项目用户管理中未列出的名称，或将该字段保留为空。仅当运行过程中相应的用户名出处不同（如，通过HMI 或来自不同的 OPC UA客户端）时，才需执行该操作。“不安全”安全策略和通过用户名和密码进行身份验证可执行以下组合设置：299OPC UA 通信11.4 将S7-1500 CPU 用作 OPC UA 客户端通信功能手册, 11/2023,A5E03735819-AL“不安全”安全策略和通过用户名和密码进行身份验证• S7-1500 的 OPC UA服务器支持该组合设置。OPC UA 客户端可连接并加密认证数据，反之亦然。• S7-1500 CPU 的 OPC UA客户端也支持该组合设置：但在运行时，仅当通过电缆发送加密的认证数据时才能连接！结果：使用以下组态，无法在运行时中建立连接。•S7-1500 用作 OPC UA 客户端• 当安全策略设置为“不安全”(="none") 时，不支持认证数据加密的 OPC UA服务器。更多信息有关具有 OPC UA 功能权限的用户和角色的信息，请参见“具有 OPC UA 功能权限的用户和角色(页213)”部分。 使用组态连接简介本节介绍了如何为 OPC UA 指令使用组态连接（第三步）。要求•已创建客户端接口，并已向该接口添加 PLC 变量和 PLC 方法，参见（“第一步 (页282)”）。• 已组态与 OPC UA服务器的连接（第二步 (页 294)）。概述要从 OPC UA 服务器读取数据或向 OPC UA 服务器写入数据，请使用以下指令：•OPC_UA_Connect• OPC_UA_NamespaceGetIndexList•OPC_UA_NodeGetHandleList• OPC_UA_ReadList or OPC_UA_WriteList•OPC_UA_NodeReleaseHandleList• OPC_UA_DisconnectOPC UA 指令的顺序下图显示了使用OPC UA 指令读取或写入 PLC 变量时这些指令在用户程序中的调用顺序：① 用于准备读取和写入操作的指令② 读取和写入指令③完成读取或写入操作后用于进行“清理”的指令如果随后立即调用“OPC_UA_Disconnect”，则可省略“OPC_UA_NodeReleaseHandleList”指令。图11-82 读取和写入操作的调用顺序如果使用的是客户端接口以及与 OPC UA 服务器的已组态连接，则 STEP 7(TIA Portal) 会自动提供这些指令的参数。下一节中介绍了具体操作步骤。使用客户端接口和已组态连接要使用已组态 OPC UA连接，请按以下步骤操作：1. 在 TIA Portal 中打开用户程序。2.通过拖放的方式将“OPC_UA_Connect”指令移入程序编辑器。该指令将出现在 TIA Portal 中的“指令 > 通信> OPC UA”(Instructions > Communication >OPC UA) 下方。3.选择指令的调用选项。示例使用多重实例。STEP 7 会在程序编辑器中显示指令。函数块图 (FBD)编程语言编辑器使用以下显示：梯形逻辑 (LAD) 编程语言编辑器采用相似的方式显示指令。4. 单击 FBD 或 LAD编辑器中的工具箱符号。该符号位于指令标题中。STEP 7 会在单独的对话框中显示特性。5. 对于“客户端接口”(Clientinterface)，选择要为指令使用的客户端接口。在本示例中，选择“ProductionLine”客户端接口。STEP 7 现在通过OPC_UA_Connect 指令的参数与“ProductionLine”客户端接口互连。在 OPC UA 客户端示例 (页280)中，使用“ProductionLine”作为接口与 OPC UA 服务器“ProductionLine”进行数据交换。6.通过拖放的方式将“OPC_UA_NamespaceGetIndexList”指令移入程序编辑器。该指令将出现在 TIA Portal中的“指令 > 通信 > OPC UA”(Instructions > Communication >OPCUA) 下方。选择“多重实例”(Multi-instance) 调用选项。如果编辑器尚未打开，请单击工具箱符号（LAD 和FBD）或实例名称下方的小绿框（STL和 SCL）。选择要使用的客户端接口（示例中为“ProductionLine”）。STEP 7现在自动与“OPC_UA_NamespaceGetIndexList”指令的所有参数互连：7.通过拖放的方式将“OPC_UA_NodeGetHandleList”指令移入程序编辑器。选择“多重实例”(Multi-instance)调用选项。如果编辑器尚未打开，请单击工具箱符号（LAD 和 FBD）或实例名称下方的小绿框（STL和SCL）。选择要使用的客户端接口。在本示例中，使用“ProductionLine”客户端接口。在“数据访问 >读取/写入列表”(Data access > Read/Writelist)中，选择需使用的读写列表（本示例中为读取列表“Product”）。STEP 7现在自动与“OPC_UA_NodeGetHandleList”指令的所有参数互连：如果要将数据写入到 OPC UA服务器，请在“数据访问 > 写入列表”(Data access > Writelist)下选择要使用的写入列表（示例中为“ProductionStatus”写入列表）。8.通过拖放的方式将“OPC_UA_ReadList”指令移入程序编辑器。选择“多重实例”(Multi-instance)调用选项。如果编辑器尚未打开，请单击工具箱符号（LAD 和 FBD）或实例名称下方的小绿框（STL和SCL）。选择要使用的客户端接口。示例使用“ProductionLine”客户端接口。在“数据访问 > 读取列表”(Dataaccess > Read list) 中，选择需使用的读取列表（本示例中为“Product”读取列表）。STEP 7现在自动与“OPC_UA_ReadList”指令的所有参数互连。