Siemens SIMATIC ET 200AL Manual página 1377

Comunicación OPC UA
10.2 Seguridad en OPC UA
El certificado de servidor OPC UA generado por la CPU contiene los principales parámetros del
servidor OPC UA y se genera de nuevo, incluida la clave privada, tras cada arranque del
servidor OPC UA después de una conexión, hasta que el certificado de servidor válido está
disponible. Como consecuencia, es posible que el arranque del servidor OPC UA tras una
conexión requiera más tiempo de lo normal.
Después de cargar la configuración hardware, el almacén de certificados que pueden
actualizarse en tiempo de ejecución se borra o bien se conservan los certificados, según sea el
ajuste. Esto significa que, si GDS está activado y la memoria de certificados se ha borrado, la
CPU está en la fase de aprovisionamiento tras cargar la configuración hardware.
Diagnóstico de la fase de aprovisionamiento
Además de la iluminación del LED Maintenance, el modelo de direcciones GDS dispone de dos
nodos que informan sobre si el servidor OPC UA de la CPU está en la fase de
aprovisionamiento:
Solo si se cumplen los requisitos de GDS (seguridad del punto final Firmado y cifrado, así
como derechos de acceso a las funciones como administrador disponibles) es posible utilizar
los dos nodos para el diagnóstico, tal y como se muestra en la imagen.
ProvisioningModeEnabled: indica que se soporta una fase de aprovisionamiento.
ProvisioningModeActive: indica que el servidor OPC UA de la CPU está en fase de
aprovisionamiento.
Fin de la fase de aprovisionamiento
La CPU finaliza automáticamente la fase de aprovisionamiento cuando se cumplen las
condiciones siguientes:
• El certificado generado y autofirmado por la CPU para la fase de aprovisionamiento ha sido
sobrescrito por un certificado de servidor válido. El certificado de servidor válido puede ser
un certificado autofirmado o un certificado firmado por una CA.
• La lista de confianza en la CPU no está vacía, es decir, hay certificados de clientes OPC UA
que son de confianza o certificados CA para comprobar los certificados de cliente.
Si el cliente OPC UA transmite un certificado firmado por una CA y, adicionalmente, agrega el
certificado CA a la lista de confianza, el servidor OPC UA de la CPU puede aceptar
automáticamente todos los demás certificados de clientes OPC UA firmados por la misma CA.
Solicitud de un certificado de servidor válido
A partir de la versión V18 de TIA Portal/la versión V3.0 de la CPU S7-1500, es posible transferir
a la CPU no solo certificados de servidor OPC UA sino también certificados para otros
servicios, p. ej., para el servidor web.
196
Manual de funciones, 11/2022, A5E03735817-AK
Comunicación