推送证书管理的地址模型 (S7-1500, S7-1500T) OPC UA 规范第 12 部分 (OPC10000-12: Discovery, Global Services) 定义了 OPC UA 服务器 的方法和属性，例如允许GDS 或 OPC UA 客户端更新服务器上的证书和信任列表（“推送 证书管理”）。这些方法和属性也包含在 OPC UA服务器的地址模型中。 下文介绍了 S7-1500 CPU 的 OPC UA 服务器的地址模型中的相关部分。 要求为了使相关方法和属性对 GDS 推送功能可见，必须满足以下要求： • GDS 已激活。 •设定的安全策略支持通过签名和加密确保数据的完整性和机密性。 • 使用运行系统功能权限“管理证书”进行访问 GDS 推送功能的地址模型GDS 推送功能的地址模型相当于 OPC UA 规范的“Information Model for Push CertificateManagement”OPC 10000-12: Discovery, Global Services。“ServerConfiguration”节点下方的结构如下所示：使用外部创建的密钥对创建证书借助诸如可以生成其它密钥的工具来生成证书。 证书和密钥通过“UpdateCertificate”方法传送到 CPU。由于安全性低，此过程不推荐。 注意 为不同的目标系统使用不同的密钥对于生产系统，始终使用新生成的密钥。如对项目进行仿真和测试（例如，通过 PC 上的 PLCSIM Advanced进行），在任何情况下都不得将作为仿真用途的密钥用于生产系统。 应通过设置相应的权限来限制对 PC式控制器的访问。用于访问地址模型的方法和属性 下文简要介绍了这些方法和属性，并介绍了 S7-1500 CPU特定地址模型的特殊功能和限制。 上文列出的 OPC UA 规范包含一般说明。 此概述表下方给出了有关各个方法的详细说明。方法/属性（变量） 说明 CreateSigningRequest 此方法用于生成以服务（例如 OPC UA 服务器）私钥 进行签名的PKCS#10 编码证书请求。 UpdateCertificate 此方法用于为 OPC UA 服务器更新服务器证书。ApplyChanges 此方法用于，在已设置“ApplyChangesRequired”属性的情况下，在执行之前执行过的方法时，应用安全相 关更改。 注 如果证书因“ApplyChanges”而更改，CPU 将中断此证书所担保的连接/会话。 背景：作为担保连接基础的证书不再有效。 GetRejectedList 此方法会返回被 OPC UA服务器拒绝的证书列表。 Zui多 4 个条目，具有保持性。 ServerCapabilities S7-1500 CPU 的 OPC UA服务器不支持该变量。 SupportedPrivateKeyFormats 此变量用于指定允许使用的私钥格式。对于 S7-1500CPU，仅允许使用“PEM”（字符串数组） MaxTrustListSize 此变量用于指定信任列表的Zui大大小。
方法/属性（变量） 说明MulticastDnsEnabled 此变量用于指定是否支持多播 DNS。对于 S7-1500 CPU，该值为“False”。CertificateGroups 该对象（文件夹）用于组织 OPC UA 服务器所支持的所有证书组。这些证书组包含运行期间可动态更新的 对象。例如，每个证书组包含一个信任列表，还包含 一个或多个分配给服务（例如 OPCUA 应用程序）的 证书。 有关 CertificateGroups 对象的结构以及此对象中提供的方法和属性的详细信息，请参见下一节。 CreateSigningRequest 该方法具有以下参数： 参数 数据类型 说明 [in]certificateGroupId NodeId CertificateGroup 对象的 NodeId。 [in]certificateTypeId NodeId 请求的证书类型。 允许使用的证书类型列表由证书组的“CertificateTypes”变量指定。 例如，OPC UA 服务器使用的证书类型是“RsaSha256ApplicationCertificateType”， Web 服务器使用的证书类型是“HttpsCertificateType” [in] subjectName String 证书请求中请求的主题名称。如果未指定，则使用证书的当前主题名称。 [in] regeneratePrivateKey BooleanTrue：服务器生成新私钥。该密钥会一直 保存到调用签名证书匹配的 UpdateCertificate 方法为止。False：服务器使用既有私钥。 [in] nonce ByteString 用于生成新私钥的额外随机数（参见regeneratePrivateKey）。长度必须至少 为 32 字节。 [out] certificateRequestByteString PKCS #10 - DER 编码证书请求。UpdateCertificate 应用： • 通过CreateSigningRequest 生成证书。未提供私钥。 • 新私钥和新证书在服务器之外生成。两者均通过UpdateCertificate 进行更新。 • 证书通过现有证书的私钥生成并签名。未提供私钥。 参数 数据类型 说明 [in]certificateGroupId NodeId CertificateGroup 对象的 NodeId。 [in]certificateTypeId NodeId 请求的证书类型。 允许使用的证书类型列表由证书组的“CertificateTypes”变量指定。 [in] certificate ByteString 替换现有证书的 DER编码证书。 [in] issuerCertificates ByteString 颁发机构证书 [in]privateKeyFormat String 私钥格式。目前仅支持 PEM。如果未指定 privateKey：零或空字符串。[in] privateKey ByteString 按 privateKeyFormat 中指定的格式进行编 码的私钥。 [out]applyChangesRequired Boolean 指示使用新证书前必须调用 “ApplyChanges”方法。 方法结果代码结果代码 说明 Bad_InvalidArgument certificateTypeId 或certificateGroupId无效。 Bad_CertificateInvalid 证书无效或格式不受支持。 Bad_NotSupported私钥无效或格式不受支持。 Bad_UserAccessDenied 当前用户不具备所需的功能权限。Bad_SecurityChecksFailed 验证证书完整性时出错。地址模型中的 CertificateGroups(S7-1500, S7-1500T) 运行过程中，CPU（OPC UA 服务器）中可更新服务或应用程序的证书和信任列表位于地址模型中的“CertificateGroups”对象中，该对象是 S7-1500 CPU 中所有服务都有的一个证书组。 对于 OPCUA 服务器证书，证书组的名称为“OPC UA server”。 地址模型中的 CertificateGroup下图显示了“ServerConfiguration”节点下方“CertificateGroups”对象的结构。在 STEP 7(TIA Portal) 中，可更改CertificateGroups的 Display Name（例如，“OPC UAserver” 组的显示名称 ）： 1. 在巡视窗口（CPU 属性）中，导航至“保护与安全 > 证书管理”(Protection& Security > Certificate management) 区域。 2.启用“运行期间使用证书管理提供的证书”(Use certificates provided by the certificatemanagement during runtime) 选项。 3. 在该选项下方表格的“证书存储区文件夹...”(Folder forcertificate store ...) 列中，更改证书组 的组名称 (DisplayName)。允许 7 位 ASCII 格式的1-64 字符。第一列包含已激活的可在运行 时传送证书的服务，“ID”列包含用于在 CPU 内部引用证书的固定数字标识符。以下是“证书管理”(Certificate management) 区域中的显示示例： “CertificateTypes”节点“CertificateTypes”变量指定分配给服务器应用程序的证书类型的 NodeId。 例如，OPC UA服务器服务支持“RsaSha256ApplicationCertificateType”CertificateType， Web服务器支持“HttpsCertificateTypeCertificateType”。 “TrustList”节点信任列表对象的节点（TrustList 文件）定义了 OPC UA 文件类型（二进制编码流），其中包 含有关证书和 CRL的信息。此信息可在存储卡的“pki store\trusted/issuer”目录中读取和更新。该节点提供用于读取和更新的方法和属性。 节点是 OPC UA数据类型“TrustListDataType”的实例，其结构如下。