安全设置向导 将硬件目录中的 CPU 添加到 TIA Portal中支持 PG/HMI 安全通信的项目时，该 CPU 的安全设置 向导随即启动。 该向导将引导您逐步完成以下 CPU 设置： •保护机密 PLC 组态数据的密码 • PG/PC 和 HMI 通信模式 • 访问等级在向导中，将这些设置逐一进行详细说明。Zui后，在总览中再次统一显示所有设置。 2. Alice使用这些证书的公钥，对证书链中的签名进行验证。 3. 对称密钥需已经生成并传送到 Web 服务器中。 4. 如果采用域名寻址 Web服务器，则 Alice 还必须根据 RFC 2818 中定义的 Internet PKI 规范 验证该 Web 服务器的身份。由于该Web 服务器的 URL（此时，为“Fully Domain Name”(FQDN)）将保存到 Web服务器的Zui终实体证书中，因此 Alice 可对该 Web 服务器 的身份进行验证。如果字段“Subject AlternativeName”中的证书项与浏览器地址栏中的一 致，则通过验证。之后，即可通过对称密钥进行数据交换，如上图所示。安全通信要求保护机密的组态数据基于证书的协议需要私钥才能正常发挥作用，并且私钥必须获得妥善保护，如有关安全通信的 基本信息中所述。 在 STEP 7 V17及以上版本中，可通过密码保护这些密钥和其它需保护的数据：保护机密 PLC 组态数据的密码。 如果已采取相应措施保护 TIAPortal 项目和 CPU 组态防止未经授权的访问，则可以不使用密 码。 无论是否分配密码：TIA Portal都会生成用于保护机密 PLC 组态数据的密钥信息。此密码对安 全通信过程没有影响。但是，用于保护机密 PLC组态数据的密码的复杂度决定了私钥受到保护 的程度。 提供密钥信息是进行安全通信（例如，基于 TLS 的 PG/HMI间安全通信）的先决条件：只有此 密钥信息可用时，CPU 才能处理安全通信所需的证书。
在 TIA Portal的网络视图中更换模块，该向导也将启动。与替换下来的 CPU 不同，新 CPU 支 持 PG/HMI 安全通信。向导中的所有设置都将应用到巡视窗口（CPU 属性）中。 通过 CPU 属性中“保护与安全”(Protection &Security) 区域内的“开始”(Start) 按钮，可随随时启 动该向导。 要求 • TIA Portal 版本 V17及以上版本 • CPU 支持 PG/HMI 间安全通信（S7-1500 CPU 固件版本 V2.9 及以上版本） • CPU尚未下载，或使用选项“删除用于保护机密 PLC 组态数据的密码”(Delete password for protection ofconfidential PLC configuration data) 将 CPU 复位为出厂设置 操作步骤 1.在网络视图或设备视图中打开 CPU 属性。 2. 导航至区域“保护与安全 > 保护 PLC 组态数据”(Protection &Security > Protection of the PLC configuration data)。结果：首先启用“保护机密 PLC 组态数据”(Protect confidential PLC configuration data)选 项，然后用于输入密码的空白字段以红色突出显示。 3. 通过“设置”(Set) 按钮组态密码（推荐）或禁用“保护机密 PLC组态数据”(Protect confidential PLC configuration data) 选项。 4.完成组态并创建用户程序。 5. 下载到 CPU。 下载硬件配置时，系统将要求用户重新输入一次密码。 背景：在 TIA Portal中使用已组态的密码来生成密钥信息，以保护机密组态数据。出于安全 原因，密码和密钥信息均未保存在项目中。为了将密钥信息传送到CPU，在下载硬件配置 时会重新生成密钥信息，因此，此时必须重新输入一次密码。 也可在 PG/HMI 与 CPU之间建立基于证书的通信 由于 TIA Portal 版本 V17 及以上版本和 CPU 固件版本 V2.9 (S7-1500) 或V4.5 (S7-1200) 中的 PG/HMI 通信同样基于证书，因此在调试过程中，系统将提示用户接受服务器证书。密码管理的提示和规则 • 在密码管理器中管理密码。 • 要检查新输入的密码合规性，防止密码简单等问题，请使用 TIA Portal的密码策略验证设 置。 – 在项目树中，导航至区域“<项目名称> > 安全设置 > 设置”(>Security settings > Settings)，然后选择“密码策略”(Password policies) 区域。– 例如，指定密码必须包含的Zui少字符数或Zui少特殊字符数。 • 无需为系统或计算机中的每个 CPU分配不同的密码。如果满足要求，可以为一组 CPU 定义 相同的密码。在更换部件方案中，该策略也具有优势：如果将组密码分配给更换的CPU， 则可减少更换 CPU 的工作量。 请注意，如果其中一个 CPU 的密码发生泄露，则采用相同密码的所有 CPU 都面临风险。•由于除组态之外，还需将保护机密 PLC 组态数据的密码也传送到新（替换）CPU 中，因此密码的定义也会影响部件的更换方案（参见“更换部件方案的规则 (页 66)”）。 • 使用 S7-1500R/H CPU时，加载过程中仅将机密 PLC 组态数据的密码加载到其中一个 CPU 中。为确保同步过程正常运行且伙伴 CPU正常运行，同步前需通过“在线与诊断”(Online and Diagnostics) 编辑器将该密码传送到伙伴 CPU 中： –在“在线和诊断”(Online and diagnostics) 视图中，可指定区域“保护机密 PLC 组态数据的密码”(Password to protect confidential PLC configuration data)。 –输入所需密码，并单击“设置”(Set) 按钮。 如果输入的密码正确，则伙伴 CPU 可使用受保护的 PLC组态数据并启动同步过程。有关保护机密 PLC 组态数据的实用信息 受安全标准保护的安全通信概念包括以下组成部分： •基于密码的密钥信息，用于保护机密组态数据（例如，证书、密码的私钥）。 • 保障参与者（例如，编程设备和 CPU）之间通信的标准化日志(TLS)。 “保护机密组态数据”原则 下图简要显示了如何保护标准 S7-1500 CPU 等设备的机密组态数据：首次下载时，两个组件项目和密钥信息将放在不同的存储区中。该项目位于装载存储器（存储卡）中，密钥信息位于 CPU 的存储区中。对于具有不同存储概念的其它目标系统（例如 S7-1200 CPU、软件控制器），实现方式取决于 相应的存储概念，但存储原理相同。①具有密码保护的机密组态数据的项目（此处：在装载存储器中，即存储卡中） ② 使用受保护机密组态数据的密钥信息（通过密码生成）（此处：在CPU 的存储区中）保护机密组态数据的原理 两个存储区可提高安全性涉及的组件像两个匹配的拼图一样彼此相关：项目绑定到下载的密钥信息，下载的密钥信息绑 定到组态期间分配的密码。项目和密钥信息必须匹配，否则 CPU 将无法启动。两个独立存储区的原理也适用于不带存储卡的 S7-1200 CPU 和 S7-1500CPU 版本，例如软件 控制器或 PLCSim/PLCSim Advanced。在不带存储卡的版本中，使用两个单独的分区，以便可以独立管理两个信息项更改密码 具体操作步骤取决于是否已下载 CPU。如果 CPU 已下载，则包含密钥信息，可以通过该密钥信息使用受密码保护的 PLC 组态数据。 更改密码 - 尚未下载组态 只要尚未将组态下载到 CPU中，就可以直接更改输入的密码或取消激活密码保护。 要求 • CPU 尚未下载。 操作步骤 1. 在网络视图或设备视图中打开 CPU属性。 2. 导航至区域“保护与安全 > 保护 PLC 组态数据”(Protection & Security >Protection of the PLC configuration data)。 3. 单击“更改”(Change)按钮或禁用选项“保护机密 PLC 组态数据”(Protect confidential PLC configurationdata)。 4. 在对话框中输入之前的有效密码。如果要更改密码，还需输入新密码并确认新密码。 只要尚未将组态下载到 CPU中，CPU 便处于配置阶段（参见“从下载到运行就绪的 CPU 行为 (页 86)”），可以使用组态的密码下载任何有效的组态。 更改密码- 组态已下载 如果 CPU 已经下载组态，并且该组态受到机密 PLC 组态数据所用密码的保护，则必须首先将 CPU复位为出厂设置，并删除 CPU 中机密 PLC 组态数据的密码，或直接在线删除密码，然后 进行设置。 要求 • 具有对 CPU的写访问权限 • CPU 必须处于 STOP 模式。操作步骤 1. 在网络视图中选择 CPU。 2.在快捷菜单中，选择“在线和诊断”(Online & Diagnostics) 命令。 3. 如果还更改存储卡上的项目，即重新下载组态：– 在打开的在线和诊断视图中选择“复位为出厂设置”(Reset to factory settings) 区域。 –激活选项“删除保护机密 PLC 组态数据的密码”(Delete password to protect confidentialPLC configuration data)。为了避免 CPU 重复启动，还需选择“格式化存储卡”(Format memorycard) 选项。 – 然后使用更改后的组态和所需的密码下载项目。 4. 如果无需更改存储卡上的项目，即仅设置密码： –在“在线和诊断”(Online and diagnostics) 视图中，指定区域“保护机密 PLC 组态数据的密码”(Password for the protection of confidential PLC configurationdata)。 – 单击“删除”(Delete) 按钮。如果“删除”(Delete) 按钮不可用，则表示尚未在 CPU 中设置密 码。– 输入所需密码，然后单击“设置”(Set) 按钮。 如果输入了正确的密码，则 CPU 可以使用受保护的 PLC 组态数据。 没有对CPU 的写访问权限 如果没有对装载存储器的写访问权限（读访问级别），请先从 CPU 上移除存储卡或从外部（例如在计算机中）删除存储卡，然后再使用选项“删除用于保护机密 PLC 组态数据的密 码”(Delete password toprotect confidential PLC configuration data) 复位为出厂设置。 说明 通过 CPU模式选择开关复位为出厂设置 通过模式选择开关恢复 CPU 的出厂设置时，还会删除 CPU 的 IP 地址，但不会删除用于保护机 密PLC 组态数据的密码。 更多信息 有关如何在采用备件的情况下继续操作的信息，请参见“更换部件方案的规则 (页 66)”部分。重置密码可以重置机密 PLC 组态数据的保护。例如，若希望更改密码，但不再记得当前密码，则必须使 用此操作。 密码丢失 - 尚未下载组态首次通过 TIA Portal 下载 CPU 时必须输入密码，否则无法使用该 CPU 的 CPU 组态。要在 CPU属性中更改密码，还必须输入先前有效的密码。如果忘记密码，请执行以下操作： 要求 • CPU 尚未下载。