OPC-UA-Konfiguration
OPC UA (Open Platform Communications Unified Architecture) ist ein industrielles Kommunikationsprotokoll für sicheren, zuverlässigen Datenaustausch. Pulse bietet umfassendes OPC-UA-Monitoring.
OPC-UA-Endpunkt-Monitor erstellen
Ein Endpunkt-Monitor prüft, ob ein OPC-UA-Server erreichbar ist und reagiert.
- Navigieren Sie zu Monitore und klicken Sie auf Monitor erstellen
- Wählen Sie OPC-UA-Endpunkt
- Konfigurieren Sie die Verbindung:
| Feld | Beschreibung | Beispiel |
|---|---|---|
| Name | Ein beschreibender Name | Produktionsserver 1 |
| Endpunkt-URL | Die OPC-UA-Serveradresse | opc.tcp://192.168.1.100:4840 |
| Sicherheitsmodus | Verbindungssicherheitsstufe | Signieren & Verschlüsseln |
| Sicherheitsrichtlinie | Verschlüsselungsalgorithmus | Basic256Sha256 |
| Authentifizierung | Art der Authentifizierung | Benutzername/Passwort |
| Eskalationsrichtlinie | Zu verwendende Eskalationsrichtlinie | Standardrichtlinie |
| Nachrichtenvorlage | Eigene Nachricht für Benachrichtigungen | Unterstützt Markdown |
| Tags | Monitor kategorisieren |
Sicherheitsmodi
- Keine -- Keine Sicherheit. Nur in isolierten Netzwerken verwenden.
- Signieren -- Nachrichten werden signiert, um Manipulation zu verhindern.
- Signieren & Verschlüsseln -- Nachrichten werden signiert und verschlüsselt. Empfohlen für Produktion.
Sicherheitsrichtlinien
- Keine -- Keine Verschlüsselung (nur mit Sicherheitsmodus: Keine)
- Basic256 -- Legacy-Verschlüsselung
- Basic256Sha256 -- Aktueller Standard. Empfohlen.
Authentifizierungsmethoden
- Anonym -- Keine Anmeldedaten erforderlich
- Benutzername/Passwort -- Authentifizierung mit in Pulse gespeicherten Anmeldedaten
- Zertifikat -- Authentifizierung mittels X.509-Zertifikaten
NETZWERKANFORDERUNGEN
Stellen Sie sicher, dass Ihre Firewall TCP-Verbindungen auf dem OPC-UA-Port (Standard: 4840) zwischen dem Pulse-Server und Ihren OPC-UA-Endpunkten erlaubt.
OPC-UA-Knoten-Monitor erstellen
Ein Knoten-Monitor verfolgt einen bestimmten Wert auf einem OPC-UA-Server und alarmiert bei Schwellenwertüberschreitungen.
- Navigieren Sie zu Monitore und klicken Sie auf Monitor erstellen
- Wählen Sie OPC-UA-Knoten
- Konfigurieren Sie die Überwachungsparameter:
| Feld | Beschreibung |
|---|---|
| Name | Ein beschreibender Name |
| Knoten-ID | Die zu überwachende OPC-UA-Knoten-ID |
| Endpunkt-Monitor | Vorhandenen OPC-UA-Endpunkt auswählen |
| Eskalationsrichtlinie | Zu verwendende Eskalationsrichtlinie |
| Aggregation | Min, Max, Summe, Durchschnitt oder Anzahl |
| Operation | Vergleich: Gleich (=), Ungleich (≠), >, ≥, <, ≤ |
| Schwellwert | Der Vergleichswert |
| Prüffrequenz | Wie oft der Wert gelesen wird (in Sekunden) |
| Auswertungsdauer | Zeitfenster für die Aggregation (in Sekunden) |
| Nachrichtenvorlage | Eigene Nachricht für Benachrichtigungen (unterstützt Markdown und Variablen) |
| Tags | Monitor kategorisieren |
TIP
Legen Sie die Prüffrequenz basierend auf der Kritikalität des überwachten Werts fest. Sicherheitskritische Werte sollten häufiger geprüft werden.
OPC-UA-Alarme & Bedingungen
OPC-UA-Alarme & Bedingungen (A&C) ist ein Standardmechanismus, mit dem Server Ereignis- und Alarmbenachrichtigungen an Clients senden. Wenn ein OPC-UA-Endpunkt-Monitor eine A&C-Ereignisbenachrichtigung empfängt, erstellt Pulse automatisch einen Vorfall.
Jeder aus einem A&C-Ereignis erstellte Vorfall:
- Verwendet die Alarmmeldung vom OPC-UA-Server als Vorfallstitel
- Zeigt dieselbe Alarmmeldung in der Vorfalldetailansicht als Beschreibung an, sodass der vollständige Alarmtext stets in Benachrichtigungen und Vorfalldetails sichtbar ist
Vorfälle aus A&C-Ereignissen werden dedupliziert: Wenn dieselbe Bedingung mehrfach ausgelöst wird, wird pro Bedingung nur ein offener Vorfall erstellt.
Anwendungsinstanz-Zertifikat
Um einen sicheren Kanal zu öffnen (Signieren oder Signieren & Verschlüsseln), präsentiert Pulse ein Anwendungsinstanz-Zertifikat — eine selbstsignierte X.509-Identität, eine pro Organisation, die von allen OPC-UA-Endpunkt-Monitoren gemeinsam genutzt wird. Jeder OPC-UA-Server muss diesem Zertifikat vertrauen, bevor er eine sichere Verbindung akzeptiert.
Sie verwalten das Zertifikat unter Organisationseinstellungen → OPC-UA-Zertifikat. Dort können Sie es herunterladen (PEM) und seinen Thumbprint (SHA-1 des Zertifikats, Großbuchstaben-Hex) kopieren, um ihn mit der Anzeige in der Vertrauensliste Ihres Servers abzugleichen.
Das Zertifikat auf Ihren Servern hinterlegen
Die genauen Schritte hängen von Ihrem OPC-UA-Server ab, das Muster ist jedoch immer gleich:
- Laden Sie das Zertifikat unter Organisationseinstellungen → OPC-UA-Zertifikat herunter.
- Importieren Sie es in den Speicher der vertrauenswürdigen Zertifikate des Servers (in UaExpert und vielen Servern ist dies der Ordner „Trusted" bzw. „PKI").
- Bestätigen Sie, dass der vom Server angezeigte Thumbprint mit dem in Pulse übereinstimmt.
Solange dem Zertifikat nicht vertraut wird, schlagen sichere Verbindungsaufbauten zu diesem Server fehl.
Rotation — ein ablaufendes Zertifikat ersetzen
Das Zertifikat ist ein Jahr gültig. Da ein Ersatz eine neue Identität ist, muss jeder Server, der dem alten Zertifikat vertraut hat, auch dem neuen vertrauen — daher rotiert Pulse mit einem Überlappungsfenster statt mit einem harten Wechsel:
- Ein Ersatz wird vorab vorbereitet. Etwa 60 Tage vor Ablauf (oder sofort, wenn Sie Jetzt rotieren klicken) erstellt Pulse ein ausstehendes Zertifikat und stellt weiterhin das aktuelle bereit. Die Einstellungsseite zeigt dann beide an, und Pulse benachrichtigt die Administratoren Ihrer Organisation per E-Mail.
- Sie hinterlegen das neue Zertifikat überall. Kopieren Sie den Thumbprint des ausstehenden Zertifikats und fügen Sie es dem vertrauenswürdigen Speicher auf jedem OPC-UA-Server hinzu — genau wie beim aktuellen Zertifikat. Die Überwachung läuft währenddessen weiter über das alte Zertifikat.
- Sie führen den Umschalt durch. Sobald jeder Server dem neuen Zertifikat vertraut, klicken Sie auf Jetzt umschalten. Pulse stuft das ausstehende Zertifikat auf aktiv hoch und entfernt das alte. Neue sichere Kanäle verwenden sofort die neue Identität.
WARNING
Schalten Sie erst um, nachdem jeder Server dem neuen Zertifikat vertraut. Ein zu frühes Umschalten unterbricht sichere Verbindungen zu jedem Server, der ihm noch nicht vertraut.
Läuft ein Zertifikat ab, bevor Sie umschalten, stuft Pulse den wartenden Ersatz automatisch hoch — das alte Zertifikat ist zu diesem Zeitpunkt ohnehin unbrauchbar, sodass dies die Überwachung nur wiederherstellen und niemals unterbrechen kann. Damit Verbindungen sich erholen, müssen Sie dem neuen Zertifikat dennoch auf Ihren Servern vertraut haben.