證配置指南)
TDengine 接入 GE CSS OPC UA ServertaosExplorer 安全通道與用戶認(rèn)證配置指南【免費(fèi)下載鏈接】tdengineTDengine is an open source, high-performance, cloud native time-series database optimized for Internet of Things (IoT), Connected Cars, Industrial IoT and DevOps.項(xiàng)目地址: https://gitcode.com/taosdata/tdengineGE CSS OPC UA Server 是 GE 工控產(chǎn)品線Cimplicity / Proficy 等對(duì)外提供 OPC UA 服務(wù)的典型數(shù)據(jù)源在電力、流程工業(yè)等場(chǎng)景中承載大量設(shè)備點(diǎn)位數(shù)據(jù)。本文以 TDengine 的無代碼數(shù)據(jù)接入組件 taosX / taosExplorer 為主體完整講解如何通過安全通道Secure Channel證書 用戶認(rèn)證Authentication雙層級(jí)安全體系把 GE CSS OPC UA Server 的點(diǎn)位數(shù)據(jù)可靠地寫入 TDengine并給出服務(wù)端證書信任/映射、連通性檢查與常見錯(cuò)誤排查的完整操作路徑。讀完本文你將能夠在 taosExplorer 中獨(dú)立完成「數(shù)據(jù)寫入 → OPC UA → GE CSS 服務(wù)端 → 入庫」的端到端配置。OPC UA 安全體系兩條相互獨(dú)立的層級(jí)接入 GE CSS OPC UA Server 時(shí)OPC UA 安全分為兩個(gè)相互獨(dú)立的層級(jí)兩者都必須滿足缺一不可安全通道Secure Channel負(fù)責(zé)傳輸層加密保護(hù)客戶端與服務(wù)器之間的通信不被竊聽或篡改。當(dāng) Security Mode 為SignAndEncrypt時(shí)始終必需。在 taosExplorer 中通過Secure Channel CertificateCertificates Private Key兩個(gè)字段配置。用戶認(rèn)證Authentication負(fù)責(zé)用戶身份驗(yàn)證確認(rèn)「誰在連接」。由 GE OPC UA Server 端實(shí)際開啟的認(rèn)證方式?jīng)Q定taosExplorer 中 Authentication 標(biāo)簽頁的選擇必須與之一致。理解這兩層的區(qū)別是排查一切問題的前提安全通道證書解決「通信是否加密、客戶端身份是否可識(shí)別」用戶認(rèn)證解決「該客戶端是否有權(quán)訪問」兩者各自獨(dú)立生效。生成 taosX OPC UA 客戶端證書按 生成 taosX OPC UA 客戶端證書 中給出的腳本本場(chǎng)景推薦使用 Windowscmd.exe版本生成client_cert.pem與client_key.pem兩個(gè)文件。證書生成有幾點(diǎn)硬性要求任何一項(xiàng)不滿足都會(huì)導(dǎo)致握手失敗格式必須為 PEMtaosX OPC UA 插件使用tls.LoadX509KeyPair()加載證書不接受 DER、PKCS#12 等其他格式。SAN 必須包含 Application URI證書的 Subject Alternative Name 中必須包含URI:urn:taosx-opc:client否則服務(wù)端會(huì)拒絕并報(bào)StatusBadCertificateUriInvalid。不能復(fù)用服務(wù)端證書從 GE、Ignition 等服務(wù)器下載到的證書如*.der是服務(wù)器自身的證書不能用作客戶端證書必須自行生成。生成后記錄證書的SHA1 指紋——后面在 GE 服務(wù)端配置時(shí)需要用到openssl x509 -in client_cert.pem -noout -fingerprint -sha1完整生成腳本W(wǎng)indows cmd.exe / PowerShell、Linux / macOS 三個(gè)版本及驗(yàn)證命令見 生成 taosX OPC UA 客戶端證書該指南同樣適用于 Ignition 等其他需要證書加密的 OPC UA 服務(wù)器場(chǎng)景執(zhí)行一次即可。在 taosExplorer 中配置連接在 taosExplorer 中進(jìn)入數(shù)據(jù)寫入 → 新增數(shù)據(jù)源英文界面為 Data In → Create New Data In Task選擇OPC UA按下表設(shè)置。連接配置taosExplorer 字段值Server Endpointhost:port/GeCssOpcUaServer按實(shí)際部署填寫Security ModeSignAndEncryptSecurity PolicyBasic128Rsa15Secure Channel Certificate上傳client_cert.pemCertificates Private Key上傳client_key.pem關(guān)于 Endpoint 路徑需要說明GE CSS OPC UA Server 的應(yīng)用路徑固定為/GeCssOpcUaServer這與 OPC UA 通用接入 中舉例的192.168.1.66:53530/OPCUA/SimulationServer這類通用端點(diǎn)不同——不同廠商 OPC UA Server 的端點(diǎn)格式、安全策略組合、客戶端證書信任流程都存在差異這也是 taosExplorer 官方為 GE、Ignition 等常見服務(wù)端單獨(dú)提供專屬集成指南的原因。安全模式與安全策略的含義SignAndEncrypt與Basic128Rsa15來自 OPC UA 通用接入文檔 中定義的安全模式/安全策略體系安全模式Security Mode決定數(shù)據(jù)保護(hù)級(jí)別None明文傳輸Sign數(shù)字簽名驗(yàn)證保護(hù)數(shù)據(jù)完整性SignAndEncrypt簽名 加密保證完整性、真實(shí)性和保密性。安全策略Security Policy決定具體加密/簽名算法Basic128Rsa15RSA 算法 128 位密鑰長(zhǎng)度本指南推薦值此外還支持Basic256、Basic256Sha256、Aes128Sha256RsaOaep、Aes256Sha256RsaPss等。當(dāng)安全模式為Sign或SignAndEncrypt時(shí)安全通信證書與安全通信私鑰兩個(gè)配置項(xiàng)都必須填寫缺一不可。用戶認(rèn)證按服務(wù)端實(shí)際開啟的認(rèn)證方式選擇對(duì)應(yīng)的 Authentication 標(biāo)簽頁服務(wù)端開啟的認(rèn)證方式taosExplorer 設(shè)置匿名默認(rèn) / 本指南驗(yàn)證場(chǎng)景Authentication 選Anonymous用戶名/密碼Authentication 選Username填寫服務(wù)端創(chuàng)建的用戶名密碼OPC UA 用戶證書Authentication 選Certificates上傳服務(wù)端用戶證書白名單中對(duì)應(yīng)的證書與私鑰不必與安全通道證書相同:::noteAuthentication → Certificates不是用來再傳一次安全通道證書。除非 GE OPC UA Server 明確開啟了 OPC UA 用戶證書認(rèn)證并把某張證書加入了用戶白名單否則保持Anonymous即可。在常規(guī)部署中證書只用于保護(hù)安全通道不要誤把安全通道證書復(fù)用到用戶認(rèn)證處。 :::如果拿不準(zhǔn)服務(wù)端開啟了哪種用戶認(rèn)證可以先選Anonymous試一次。信任并映射客戶端證書服務(wù)端操作在 taosExplorer 中第一次執(zhí)行檢查連通性Check Connection通常會(huì)失敗——這是預(yù)期行為因?yàn)?GE OPC UA Server 還沒有信任、也沒有把新的 taosX 客戶端證書映射到任何用戶。在 GE OPC UA Server 主機(jī)上打開 OPC UA Server 配置進(jìn)入OPC UA Server - Security Certificate / User Association添加或選擇 taosX 客戶端證書的標(biāo)識(shí)并把它關(guān)聯(lián)到一個(gè)有權(quán)限的用戶例如字段值Certificate Identifierclient_cert.pem的 SHA1 指紋去掉冒號(hào)Privileges User Name一個(gè)有權(quán)限的 GE Cimplicity 用戶例如admin關(guān)鍵點(diǎn)在于「映射」二字GE 服務(wù)端不僅要信任這張證書還必須把證書標(biāo)識(shí)SHA1 指紋去冒號(hào)顯式關(guān)聯(lián)到某個(gè)擁有權(quán)限的 Cimplicity 用戶證書才能獲得數(shù)據(jù)訪問資格。把證書與該用戶關(guān)聯(lián)完成后回到 taosExplorer 再次執(zhí)行檢查連通性Check Connection。通過后即可繼續(xù)配置點(diǎn)位集選擇數(shù)據(jù)點(diǎn)位 / 上傳 CSV / 告警與事件、采集模式subscribe/observe/event等任務(wù)參數(shù)并提交任務(wù)相關(guān)通用配置細(xì)節(jié)可參考 OPC UA 數(shù)據(jù)接入總覽。常見錯(cuò)誤排查現(xiàn)象可能原因處理方式第一次 Check Connection 報(bào)read header failed: EOFGE OPC UA Server 拒絕/關(guān)閉了安全通道握手因?yàn)?taosX 客戶端證書還未被信任或還未映射到用戶。在服務(wù)端添加 taosX 證書標(biāo)識(shí)并關(guān)聯(lián)到一個(gè)有權(quán)限的用戶再重試。StatusBadSecurityChecksFailedSecurity Mode、Security Policy、證書或私鑰錯(cuò)誤。確認(rèn)為SignAndEncrypt、Basic128Rsa15并使用正確的client_cert.pem與client_key.pem。StatusBadCertificateUriInvalid證書中沒有 taosX OPC UA Application URI。重新生成證書確認(rèn) SAN 中包含URI:urn:taosx-opc:client。用戶認(rèn)證相關(guān)錯(cuò)誤taosX 的 Authentication 標(biāo)簽頁與服務(wù)器側(cè)實(shí)際開啟的認(rèn)證方式不匹配。與服務(wù)端管理員核對(duì)開啟的是 Anonymous / Username / OPC UA 用戶證書 中的哪一種再在 taosExplorer 中切到對(duì)應(yīng)的標(biāo)簽頁填寫憑據(jù)。其中read header failed: EOF是 GE CSS 接入中最具代表性的現(xiàn)象它發(fā)生在安全通道握手階段本質(zhì)是服務(wù)端在驗(yàn)證客戶端證書時(shí)主動(dòng)關(guān)閉了連接而非網(wǎng)絡(luò)故障。只要完成了上一步的「信任 映射」兩步操作重試即可通過。關(guān)鍵要點(diǎn)推薦參考配置為SignAndEncrypt Basic128Rsa15 Anonymous用戶認(rèn)證若服務(wù)端配置了其他方式按實(shí)際配置選 Username 或 Certificates。當(dāng) Security Mode 為SignAndEncrypt時(shí)taosX 仍然需要一個(gè)安全通道客戶端證書與私鑰。安全通道證書是在Connection Configuration區(qū)域上傳不是在Authentication → Certificates標(biāo)簽頁。GE OPC UA Server 必須把 taosX 證書標(biāo)識(shí)映射到一個(gè)有權(quán)限的用戶僅信任不映射仍會(huì)失敗。服務(wù)端證書關(guān)聯(lián)完成后重新在 taosExplorer 中執(zhí)行檢查連通性Check Connection。延伸閱讀生成 taosX OPC UA 客戶端證書證書生成腳本與驗(yàn)證命令Windows / Linux / macOSOPC UA 數(shù)據(jù)接入總覽安全模式、安全策略、點(diǎn)位集、采集配置等通用步驟Ignition OPC UA Server 集成指南另一款常見 OPC UA Server 的對(duì)照配置流程【免費(fèi)下載鏈接】tdengineTDengine is an open source, high-performance, cloud native time-series database optimized for Internet of Things (IoT), Connected Cars, Industrial IoT and DevOps.項(xiàng)目地址: https://gitcode.com/taosdata/tdengine創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考 TDengine 接入 GE CSS OPC UA Server：taosExplorer 安全通道與用戶認(rèn)證配置指南
TDengine 接入 GE CSS OPC UA ServertaosExplorer 安全通道與用戶認(rèn)證配置指南【免費(fèi)下載鏈接】tdengineTDengine is an open source, high-performance, cloud native time-series database optimized for Internet of Things (IoT), Connected Cars, Industrial IoT and DevOps.項(xiàng)目地址: https://gitcode.com/taosdata/tdengineGE CSS OPC UA Server 是 GE 工控產(chǎn)品線Cimplicity / Proficy 等對(duì)外提供 OPC UA 服務(wù)的典型數(shù)據(jù)源在電力、流程工業(yè)等場(chǎng)景中承載大量設(shè)備點(diǎn)位數(shù)據(jù)。本文以 TDengine 的無代碼數(shù)據(jù)接入組件 taosX / taosExplorer 為主體完整講解如何通過安全通道Secure Channel證書 用戶認(rèn)證Authentication雙層級(jí)安全體系把 GE CSS OPC UA Server 的點(diǎn)位數(shù)據(jù)可靠地寫入 TDengine并給出服務(wù)端證書信任/映射、連通性檢查與常見錯(cuò)誤排查的完整操作路徑。讀完本文你將能夠在 taosExplorer 中獨(dú)立完成「數(shù)據(jù)寫入 → OPC UA → GE CSS 服務(wù)端 → 入庫」的端到端配置。OPC UA 安全體系兩條相互獨(dú)立的層級(jí)接入 GE CSS OPC UA Server 時(shí)OPC UA 安全分為兩個(gè)相互獨(dú)立的層級(jí)兩者都必須滿足缺一不可安全通道Secure Channel負(fù)責(zé)傳輸層加密保護(hù)客戶端與服務(wù)器之間的通信不被竊聽或篡改。當(dāng) Security Mode 為SignAndEncrypt時(shí)始終必需。在 taosExplorer 中通過Secure Channel CertificateCertificates Private Key兩個(gè)字段配置。用戶認(rèn)證Authentication負(fù)責(zé)用戶身份驗(yàn)證確認(rèn)「誰在連接」。由 GE OPC UA Server 端實(shí)際開啟的認(rèn)證方式?jīng)Q定taosExplorer 中 Authentication 標(biāo)簽頁的選擇必須與之一致。理解這兩層的區(qū)別是排查一切問題的前提安全通道證書解決「通信是否加密、客戶端身份是否可識(shí)別」用戶認(rèn)證解決「該客戶端是否有權(quán)訪問」兩者各自獨(dú)立生效。生成 taosX OPC UA 客戶端證書按 生成 taosX OPC UA 客戶端證書 中給出的腳本本場(chǎng)景推薦使用 Windowscmd.exe版本生成client_cert.pem與client_key.pem兩個(gè)文件。證書生成有幾點(diǎn)硬性要求任何一項(xiàng)不滿足都會(huì)導(dǎo)致握手失敗格式必須為 PEMtaosX OPC UA 插件使用tls.LoadX509KeyPair()加載證書不接受 DER、PKCS#12 等其他格式。SAN 必須包含 Application URI證書的 Subject Alternative Name 中必須包含URI:urn:taosx-opc:client否則服務(wù)端會(huì)拒絕并報(bào)StatusBadCertificateUriInvalid。不能復(fù)用服務(wù)端證書從 GE、Ignition 等服務(wù)器下載到的證書如*.der是服務(wù)器自身的證書不能用作客戶端證書必須自行生成。生成后記錄證書的SHA1 指紋——后面在 GE 服務(wù)端配置時(shí)需要用到openssl x509 -in client_cert.pem -noout -fingerprint -sha1完整生成腳本W(wǎng)indows cmd.exe / PowerShell、Linux / macOS 三個(gè)版本及驗(yàn)證命令見 生成 taosX OPC UA 客戶端證書該指南同樣適用于 Ignition 等其他需要證書加密的 OPC UA 服務(wù)器場(chǎng)景執(zhí)行一次即可。在 taosExplorer 中配置連接在 taosExplorer 中進(jìn)入數(shù)據(jù)寫入 → 新增數(shù)據(jù)源英文界面為 Data In → Create New Data In Task選擇OPC UA按下表設(shè)置。連接配置taosExplorer 字段值Server Endpointhost:port/GeCssOpcUaServer按實(shí)際部署填寫Security ModeSignAndEncryptSecurity PolicyBasic128Rsa15Secure Channel Certificate上傳client_cert.pemCertificates Private Key上傳client_key.pem關(guān)于 Endpoint 路徑需要說明GE CSS OPC UA Server 的應(yīng)用路徑固定為/GeCssOpcUaServer這與 OPC UA 通用接入 中舉例的192.168.1.66:53530/OPCUA/SimulationServer這類通用端點(diǎn)不同——不同廠商 OPC UA Server 的端點(diǎn)格式、安全策略組合、客戶端證書信任流程都存在差異這也是 taosExplorer 官方為 GE、Ignition 等常見服務(wù)端單獨(dú)提供專屬集成指南的原因。安全模式與安全策略的含義SignAndEncrypt與Basic128Rsa15來自 OPC UA 通用接入文檔 中定義的安全模式/安全策略體系安全模式Security Mode決定數(shù)據(jù)保護(hù)級(jí)別None明文傳輸Sign數(shù)字簽名驗(yàn)證保護(hù)數(shù)據(jù)完整性SignAndEncrypt簽名 加密保證完整性、真實(shí)性和保密性。安全策略Security Policy決定具體加密/簽名算法Basic128Rsa15RSA 算法 128 位密鑰長(zhǎng)度本指南推薦值此外還支持Basic256、Basic256Sha256、Aes128Sha256RsaOaep、Aes256Sha256RsaPss等。當(dāng)安全模式為Sign或SignAndEncrypt時(shí)安全通信證書與安全通信私鑰兩個(gè)配置項(xiàng)都必須填寫缺一不可。用戶認(rèn)證按服務(wù)端實(shí)際開啟的認(rèn)證方式選擇對(duì)應(yīng)的 Authentication 標(biāo)簽頁服務(wù)端開啟的認(rèn)證方式taosExplorer 設(shè)置匿名默認(rèn) / 本指南驗(yàn)證場(chǎng)景Authentication 選Anonymous用戶名/密碼Authentication 選Username填寫服務(wù)端創(chuàng)建的用戶名密碼OPC UA 用戶證書Authentication 選Certificates上傳服務(wù)端用戶證書白名單中對(duì)應(yīng)的證書與私鑰不必與安全通道證書相同:::noteAuthentication → Certificates不是用來再傳一次安全通道證書。除非 GE OPC UA Server 明確開啟了 OPC UA 用戶證書認(rèn)證并把某張證書加入了用戶白名單否則保持Anonymous即可。在常規(guī)部署中證書只用于保護(hù)安全通道不要誤把安全通道證書復(fù)用到用戶認(rèn)證處。 :::如果拿不準(zhǔn)服務(wù)端開啟了哪種用戶認(rèn)證可以先選Anonymous試一次。信任并映射客戶端證書服務(wù)端操作在 taosExplorer 中第一次執(zhí)行檢查連通性Check Connection通常會(huì)失敗——這是預(yù)期行為因?yàn)?GE OPC UA Server 還沒有信任、也沒有把新的 taosX 客戶端證書映射到任何用戶。在 GE OPC UA Server 主機(jī)上打開 OPC UA Server 配置進(jìn)入OPC UA Server - Security Certificate / User Association添加或選擇 taosX 客戶端證書的標(biāo)識(shí)并把它關(guān)聯(lián)到一個(gè)有權(quán)限的用戶例如字段值Certificate Identifierclient_cert.pem的 SHA1 指紋去掉冒號(hào)Privileges User Name一個(gè)有權(quán)限的 GE Cimplicity 用戶例如admin關(guān)鍵點(diǎn)在于「映射」二字GE 服務(wù)端不僅要信任這張證書還必須把證書標(biāo)識(shí)SHA1 指紋去冒號(hào)顯式關(guān)聯(lián)到某個(gè)擁有權(quán)限的 Cimplicity 用戶證書才能獲得數(shù)據(jù)訪問資格。把證書與該用戶關(guān)聯(lián)完成后回到 taosExplorer 再次執(zhí)行檢查連通性Check Connection。通過后即可繼續(xù)配置點(diǎn)位集選擇數(shù)據(jù)點(diǎn)位 / 上傳 CSV / 告警與事件、采集模式subscribe/observe/event等任務(wù)參數(shù)并提交任務(wù)相關(guān)通用配置細(xì)節(jié)可參考 OPC UA 數(shù)據(jù)接入總覽。常見錯(cuò)誤排查現(xiàn)象可能原因處理方式第一次 Check Connection 報(bào)read header failed: EOFGE OPC UA Server 拒絕/關(guān)閉了安全通道握手因?yàn)?taosX 客戶端證書還未被信任或還未映射到用戶。在服務(wù)端添加 taosX 證書標(biāo)識(shí)并關(guān)聯(lián)到一個(gè)有權(quán)限的用戶再重試。StatusBadSecurityChecksFailedSecurity Mode、Security Policy、證書或私鑰錯(cuò)誤。確認(rèn)為SignAndEncrypt、Basic128Rsa15并使用正確的client_cert.pem與client_key.pem。StatusBadCertificateUriInvalid證書中沒有 taosX OPC UA Application URI。重新生成證書確認(rèn) SAN 中包含URI:urn:taosx-opc:client。用戶認(rèn)證相關(guān)錯(cuò)誤taosX 的 Authentication 標(biāo)簽頁與服務(wù)器側(cè)實(shí)際開啟的認(rèn)證方式不匹配。與服務(wù)端管理員核對(duì)開啟的是 Anonymous / Username / OPC UA 用戶證書 中的哪一種再在 taosExplorer 中切到對(duì)應(yīng)的標(biāo)簽頁填寫憑據(jù)。其中read header failed: EOF是 GE CSS 接入中最具代表性的現(xiàn)象它發(fā)生在安全通道握手階段本質(zhì)是服務(wù)端在驗(yàn)證客戶端證書時(shí)主動(dòng)關(guān)閉了連接而非網(wǎng)絡(luò)故障。只要完成了上一步的「信任 映射」兩步操作重試即可通過。關(guān)鍵要點(diǎn)推薦參考配置為SignAndEncrypt Basic128Rsa15 Anonymous用戶認(rèn)證若服務(wù)端配置了其他方式按實(shí)際配置選 Username 或 Certificates。當(dāng) Security Mode 為SignAndEncrypt時(shí)taosX 仍然需要一個(gè)安全通道客戶端證書與私鑰。安全通道證書是在Connection Configuration區(qū)域上傳不是在Authentication → Certificates標(biāo)簽頁。GE OPC UA Server 必須把 taosX 證書標(biāo)識(shí)映射到一個(gè)有權(quán)限的用戶僅信任不映射仍會(huì)失敗。服務(wù)端證書關(guān)聯(lián)完成后重新在 taosExplorer 中執(zhí)行檢查連通性Check Connection。延伸閱讀生成 taosX OPC UA 客戶端證書證書生成腳本與驗(yàn)證命令Windows / Linux / macOSOPC UA 數(shù)據(jù)接入總覽安全模式、安全策略、點(diǎn)位集、采集配置等通用步驟Ignition OPC UA Server 集成指南另一款常見 OPC UA Server 的對(duì)照配置流程【免費(fèi)下載鏈接】tdengineTDengine is an open source, high-performance, cloud native time-series database optimized for Internet of Things (IoT), Connected Cars, Industrial IoT and DevOps.項(xiàng)目地址: https://gitcode.com/taosdata/tdengine創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考