Config-Einträge für MxProxy und HTTP-Server

Der WinCC OA-Multiplexing Proxy sowie der HTTP-Server verwenden für die sichere Kommunikation SSL.

Welche Zertifikate für die SSL-Kommunikation verwendet werden sollen, wird über Config-Einträge definiert. Dieses Kapitel enthält eine Liste der Config-Einträge, die für die sichere Kommunikation benötigt werden.

SSL-Kommunikation mit dateibasierten Zertifikaten

Die folgenden Tabellen enthalten die Config-Einträge, die für SSL-Kommunikation mit dateibasierten Zertifikaten erforderlich sind.

Multiplexing Proxy

Verwenden Sie die folgenden Einträge für den Multiplexing Proxy. Die genaue Beschreibung des Eintrages finden Sie unter Referenztabellen-> Konfigurationsdatei ->[Sektion]. Die Beschreibung öffnen Sie über die Links unterhalb.

Config-Eintrag Beschreibung

securityMode = "CERT"

Definiert den Sicherheitsmodus (cert, wincert). Siehe die Beschreibung des Config-Eintrages

sslCertificate = "<cert-file> <private-key> <CAFile>"

e.g.

sslCertificate = "D:/Certificates/host-cert.pem D:/Certificates/host-key.pem D:/Certificates/root-certificate.pem"

Der sslCertificate-Eintrag gibt den Pfad, relativ zum Root Directory des Projekts und die Filenamen der 3 PEM Files an, die für SSL/TLS-verschlüsselte Kommunikation erforderlich sind. Siehe die Beschreibung des Config-Eintrages

Das folgende Beispiel zeigt eine Config-Datei für eine Single System-Konfiguration (abgesetztes UI):

Der Proxy und der Server sind auf dem gleichen Host. Der Client (auf einem separaten Host) kommuniziert mit dem Server über den MxProxy.

Abbildung: Client Config-Datei - Verwendung von pem-Zertifikaten in der Config-Datei

Abbildung: Server Config-Datei - Verwendung von pem-Zertifikaten in der Config-Datei

HTTP-Server

Verwenden Sie die folgenden Einträge für den HTTP-Server mit ULC UX. Die genaue Beschreibung des Eintrages finden Sie unter Referenztabellen-> Konfigurationsdatei ->[Sektion]. Die Beschreibung öffnen Sie über den Link.

Config-Eintrag Beschreibung

[httpServer]

uiArguments="-p login.pnl"

Startpanel für den ULC UX.

[webClient]

httpAuth=1

Aktiviert die HTTP-Serverauthentifizierung.

SSL-Kommunikation mit Windows Certificate Store-Zertifikaten

Die folgende Tabelle enthält die Config-Einträge, die für SSL-Kommunikation über Windows Certificate Store-Zertifikate erforderlich sind. Die genaue Beschreibung des Eintrages finden Sie unter Referenztabellen-> Konfigurationsdatei ->[Sektion]. Die Beschreibung öffnen Sie über den Link.

Ein Beispiel wie die WinCC OA-Zertifikate in das Windows Certificate Store-Format konvertiert werden und in Windows Certificate Store importiert werden können, finden Sie im Kapitel Multiplexing Proxy-Zertifikate - Erstellung, Konversion und Import .

Multiplexing Proxy

Verwenden Sie die folgenden Einträge für den Multiplexing Proxy. Die genaue Beschreibung des Eintrages finden Sie unter Referenztabellen-> Konfigurationsdatei ->[Sektion]. Die Beschreibung öffnen Sie über die Links unterhalb.

Config-Eintrag

[general]

securityMode = "WINCERT"

winCert = "USER:MY:host_MxProxy"

winRootCA = "USER:ROOT:root_mxProxy"

mxProxy = "<HOSTNAME> <HOSTNAME> wincert"

Der Eintrag "securityMode" definiert den Sicherheitsmodus (cert, winCert). Siehe die Beschreibung des Config-Eintrages links.

Wenn der Security Mode winCert configuriert ist, gibt der Config-Eintrag winCert an, welches Zertifikat aus dem Windows Certificate Store für SSL/TLS-Kommunikation verwendet werden soll.

Wenn der Security Mode winCert konfiguriert ist, gibt der Config-Eintrag winRootCA an, welches Zertifikat aus dem Windows Certificate Store zur Zertifikatsüberprüfung beim SSL/TLS- Sessionaufbau verwendet werden soll

Der mxProxy definiert den WinCC OA -Serverhost sowie den MxProxy-Host.

Wenn Zertifikate über ThumbPrints verwendet werden, sind die folgenden Config-Einträge erforderlich:

[general]

securityMode = "WINCERT"

winCertSearchBy = "SHA1"

mxProxy = "<HOSTNAME> wincert"

winRootCA = "USER:ROOT:a7 8F b0 9A 96 A4 A0 4E 6F B3 BF 4D 24 B3 85 0D 4A 64 9B 30"

winCert = "USER:MY:0A C4 9B FB 7A 70 65 58 84 08 76 36 35 FF C0 CC 35 BE E8 A3"

Siehe oberhalb.
VORSICHT:

Beachten Sie, dass damit die Zertifikate für Multiplexing Proxy verwendet werden können, der Windows Registry-Eintrag HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Cryptography\forcekeyprotection auf 0 gesetzt werden muss. Öffnen Sie die Windows Registry über "regedit" und fügen Sie den Eintrag hinzu oder ändern Sie den Defaultwert 2 auf 0. Beachten Sie weiters, dass Zertifikate, die importiert wurden bevor der Registry-Eintrag gesetzt wurde, erneut importiert werden müssen. Der Registry-Eintrag ist aus Sicherheitsgründen standardmäßig 2 (Key-Schutz für Keys, die auf dem Computer gespeichert sind).