Siemens SIMATIC S7-1500 Produktinformation Seite 2

Ergänzungen zur Dokumentation S7-1500/ET 200MP
Funktionshandbuch Kommunikation, Ausgabe 05/2021
OPC UA - Unterstützung für die OPC UA Datentypen "LocalizedText" und "ByteString"
Zusätzlich zu den im Funktionshandbuch Kommunikation beschriebenen Funktionen werden die vor allem bei Companion
Spezifikationen verwendeten Datentypen "LocalizedText" und "ByteString" unterstützt. Eine Beschreibung dieser Datentypen
finden Sie in der Liesmich-Datei vom TIA Portal V17.
OPC UA - Global Discovery Push (GDS Push) Funktion: Aktualisierungsproblem bei geladenen Zertifikaten
Unter bestimmten Bedingungen registriert die CPU ein geladenes Zertifikat (z. B. ein neues OPC UA-Server-Zertifikat oder ein
aktualisiertes Webserver-Zertifikat) nicht. Beim Verbindungsaufbau-Versuch wird dann möglicherweise ein Zertifikatsfehler
gemeldet.
Das Aktualisierungsproblem tritt nur dann auf, wenn die CPU noch Zertifikate verwaltet, die zur Laufzeit bereitgestellt werden
(GDS-Push) und dann Zertifikate über das Laden der Hardware-Konfiguration zur CPU übertragen werden. Die über die
Hardware-Konfiguration geladenen Zertifikate werden unter diesen Voraussetzungen von der CPU nicht registriert.
Beispiele:
• Sie haben zunächst die GDS-Push-Funktion aktiviert sowie für die Zertifikatseinstellungen die Option "... zur Laufzeit
bereitgestellte Zertifikate verwenden" gewählt und diese Konfiguration geladen. Das erforderliche Server-Zertifikat sowie
Vertrauenslisten/CRLs werden dann ausschließlich über GDS-Push Methoden bereitgestellt.
• Anschließend ändern Sie die Hardware-Konfiguration, bei der Sie neue Zertifikate hinzufügen oder bereits bestehende
Zertifikate ändern (z. B. Webserver-Zertifikate oder Zertifikate für die Secure PG/HMI-Kommunikation). Beim Laden haben
Sie die vorhandenen, zur Laufzeit bereitgestellten Zertifikate nicht gelöscht, um sie später noch nutzen zu können.
Ergebnis: Die neu geladenen Server-Zertifikate (z. B. Webserver-Zertifikate oder Zertifikate für die Secure PG/HMI-
Kommunikation) werden von der CPU nicht registriert.
• Das Problem tritt auch auf, wenn Sie die GDS-Push-Funktion deaktiviert sowie für die Zertifikatseinstellungen die Option
"... konfigurierte und heruntergeladene Zertifikate verwenden" gewählt haben und diese Konfiguration laden. Beim Laden
haben Sie die vorhandenen, zur Laufzeit bereitgestellten Zertifikate nicht gelöscht, um sie später noch nutzen zu können.
Ergebnis: Das neu geladene OPC UA Server-Zertifikat wird von der CPU nicht registriert.
Abhilfe: Wenn die CPU noch Zertifikate hat, die zur Laufzeit bereitgestellt wurden und Sie neue/geänderte Zertifikate über ein
Laden der Hardware-Konfiguration in die CPU übertragen wollen, gehen Sie folgendermaßen vor:
• Nach dem Laden der Konfiguration führen Sie die Funktion "Urlöschen" durch oder starten Sie die CPU neu (NETZ-AUS >
NETZ EIN). Nach diesen Maßnahmen reorganisiert die CPU die geladene Konfiguration und verwendet anschließend die
aktuellen Zertifikate.
Secure PG/HMI-Kommunikation: Passwortübertragung zur CPU über nicht vertrauenswürdige Verbindung bei CPU-
Zugriff über erreichbare Teilnehmer
Wenn Sie mit dem TIA Portal auf eine S7-1500 CPU (Firmware-Version V2.9) über die Funktion "Erreichbare Teilnehmer"
online zugreifen und die CPU hat einen passwortgeschützten Zugriffsschutz "kein Zugriff (kompletter Schutz)", dann kann das
verschlüsselte Passwort beim Verbindungsaufbau möglicherweise über eine nicht vertrauenswürdige Verbindung zur CPU
übertragen werden.
Nur beim Verbinden mit einer komplett geschützten CPU aus der Liste erreichbarer Teilnehmer wird das Passwort für die
benötigte Zugriffsstufe abgefragt und möglicherweise über eine nicht vertrauenswürdige Verbindung übertragen.
Abhilfe:
• Verbinden Sie sich online über erreichbare Teilnehmer nur mit CPUs in einer geschützten Umgebung ohne
Zugriffsmöglichkeiten von außen.
• Stellen Sie sicher, dass Sie mit der richtigen CPU verbunden sind.
• Verwenden Sie für den Online-Zugriff auf erreichbare Teilnehmer das Passwort für die Zugriffsstufe mit den geringsten
Zugriffsrechten: Verwenden Sie bei komplettem Schutz das Passwort für den HMI-Zugriff. Dies setzt die Projektierung
eines Passworts für den HMI-Zugriff voraus.
2
Produktinformation zur Dokumentation S7-1500/ET 200MP
A5E31876003-AX, 05/2021