TDengine 接入 GE CSS OPC UA ServertaosExplorer 安全通道與用戶認證配置指南【免費下載鏈接】tdengineTDengine is an open source, high-performance, cloud native time-series database optimized for Internet of Things (IoT), Connected Cars, Industrial IoT and DevOps.項目地址: https://gitcode.com/taosdata/tdengineGE CSS OPC UA Server 是 GE 工控產(chǎn)品線Cimplicity / Proficy 等對外提供 OPC UA 服務的典型數(shù)據(jù)源在電力、流程工業(yè)等場景中承載大量設備點位數(shù)據(jù)。本文以 TDengine 的無代碼數(shù)據(jù)接入組件 taosX / taosExplorer 為主體完整講解如何通過安全通道Secure Channel證書 用戶認證Authentication雙層級安全體系把 GE CSS OPC UA Server 的點位數(shù)據(jù)可靠地寫入 TDengine并給出服務端證書信任/映射、連通性檢查與常見錯誤排查的完整操作路徑。讀完本文你將能夠在 taosExplorer 中獨立完成「數(shù)據(jù)寫入 → OPC UA → GE CSS 服務端 → 入庫」的端到端配置。OPC UA 安全體系兩條相互獨立的層級接入 GE CSS OPC UA Server 時OPC UA 安全分為兩個相互獨立的層級兩者都必須滿足缺一不可安全通道Secure Channel負責傳輸層加密保護客戶端與服務器之間的通信不被竊聽或篡改。當 Security Mode 為SignAndEncrypt時始終必需。在 taosExplorer 中通過Secure Channel CertificateCertificates Private Key兩個字段配置。用戶認證Authentication負責用戶身份驗證確認「誰在連接」。由 GE OPC UA Server 端實際開啟的認證方式?jīng)Q定taosExplorer 中 Authentication 標簽頁的選擇必須與之一致。理解這兩層的區(qū)別是排查一切問題的前提安全通道證書解決「通信是否加密、客戶端身份是否可識別」用戶認證解決「該客戶端是否有權訪問」兩者各自獨立生效。生成 taosX OPC UA 客戶端證書按 生成 taosX OPC UA 客戶端證書 中給出的腳本本場景推薦使用 Windowscmd.exe版本生成client_cert.pem與client_key.pem兩個文件。證書生成有幾點硬性要求任何一項不滿足都會導致握手失敗格式必須為 PEMtaosX OPC UA 插件使用tls.LoadX509KeyPair()加載證書不接受 DER、PKCS#12 等其他格式。SAN 必須包含 Application URI證書的 Subject Alternative Name 中必須包含URI:urn:taosx-opc:client否則服務端會拒絕并報StatusBadCertificateUriInvalid。不能復用服務端證書從 GE、Ignition 等服務器下載到的證書如*.der是服務器自身的證書不能用作客戶端證書必須自行生成。生成后記錄證書的SHA1 指紋——后面在 GE 服務端配置時需要用到openssl x509 -in client_cert.pem -noout -fingerprint -sha1完整生成腳本W(wǎng)indows cmd.exe / PowerShell、Linux / macOS 三個版本及驗證命令見 生成 taosX OPC UA 客戶端證書該指南同樣適用于 Ignition 等其他需要證書加密的 OPC UA 服務器場景執(zhí)行一次即可。在 taosExplorer 中配置連接在 taosExplorer 中進入數(shù)據(jù)寫入 → 新增數(shù)據(jù)源英文界面為 Data In → Create New Data In Task選擇OPC UA按下表設置。連接配置taosExplorer 字段值Server Endpointhost:port/GeCssOpcUaServer按實際部署填寫Security ModeSignAndEncryptSecurity PolicyBasic128Rsa15Secure Channel Certificate上傳client_cert.pemCertificates Private Key上傳client_key.pem關于 Endpoint 路徑需要說明GE CSS OPC UA Server 的應用路徑固定為/GeCssOpcUaServer這與 OPC UA 通用接入 中舉例的192.168.1.66:53530/OPCUA/SimulationServer這類通用端點不同——不同廠商 OPC UA Server 的端點格式、安全策略組合、客戶端證書信任流程都存在差異這也是 taosExplorer 官方為 GE、Ignition 等常見服務端單獨提供專屬集成指南的原因。安全模式與安全策略的含義SignAndEncrypt與Basic128Rsa15來自 OPC UA 通用接入文檔 中定義的安全模式/安全策略體系安全模式Security Mode決定數(shù)據(jù)保護級別None明文傳輸Sign數(shù)字簽名驗證保護數(shù)據(jù)完整性SignAndEncrypt簽名 加密保證完整性、真實性和保密性。安全策略Security Policy決定具體加密/簽名算法Basic128Rsa15RSA 算法 128 位密鑰長度本指南推薦值此外還支持Basic256、Basic256Sha256、Aes128Sha256RsaOaep、Aes256Sha256RsaPss等。當安全模式為Sign或SignAndEncrypt時安全通信證書與安全通信私鑰兩個配置項都必須填寫缺一不可。用戶認證按服務端實際開啟的認證方式選擇對應的 Authentication 標簽頁服務端開啟的認證方式taosExplorer 設置匿名默認 / 本指南驗證場景Authentication 選Anonymous用戶名/密碼Authentication 選Username填寫服務端創(chuàng)建的用戶名密碼OPC UA 用戶證書Authentication 選Certificates上傳服務端用戶證書白名單中對應的證書與私鑰不必與安全通道證書相同:::noteAuthentication → Certificates不是用來再傳一次安全通道證書。除非 GE OPC UA Server 明確開啟了 OPC UA 用戶證書認證并把某張證書加入了用戶白名單否則保持Anonymous即可。在常規(guī)部署中證書只用于保護安全通道不要誤把安全通道證書復用到用戶認證處。 :::如果拿不準服務端開啟了哪種用戶認證可以先選Anonymous試一次。信任并映射客戶端證書服務端操作在 taosExplorer 中第一次執(zhí)行檢查連通性Check Connection通常會失敗——這是預期行為因為 GE OPC UA Server 還沒有信任、也沒有把新的 taosX 客戶端證書映射到任何用戶。在 GE OPC UA Server 主機上打開 OPC UA Server 配置進入OPC UA Server - Security Certificate / User Association添加或選擇 taosX 客戶端證書的標識并把它關聯(lián)到一個有權限的用戶例如字段值Certificate Identifierclient_cert.pem的 SHA1 指紋去掉冒號Privileges User Name一個有權限的 GE Cimplicity 用戶例如admin關鍵點在于「映射」二字GE 服務端不僅要信任這張證書還必須把證書標識SHA1 指紋去冒號顯式關聯(lián)到某個擁有權限的 Cimplicity 用戶證書才能獲得數(shù)據(jù)訪問資格。把證書與該用戶關聯(lián)完成后回到 taosExplorer 再次執(zhí)行檢查連通性Check Connection。通過后即可繼續(xù)配置點位集選擇數(shù)據(jù)點位 / 上傳 CSV / 告警與事件、采集模式subscribe/observe/event等任務參數(shù)并提交任務相關通用配置細節(jié)可參考 OPC UA 數(shù)據(jù)接入總覽。常見錯誤排查現(xiàn)象可能原因處理方式第一次 Check Connection 報read header failed: EOFGE OPC UA Server 拒絕/關閉了安全通道握手因為 taosX 客戶端證書還未被信任或還未映射到用戶。在服務端添加 taosX 證書標識并關聯(lián)到一個有權限的用戶再重試。StatusBadSecurityChecksFailedSecurity Mode、Security Policy、證書或私鑰錯誤。確認為SignAndEncrypt、Basic128Rsa15并使用正確的client_cert.pem與client_key.pem。StatusBadCertificateUriInvalid證書中沒有 taosX OPC UA Application URI。重新生成證書確認 SAN 中包含URI:urn:taosx-opc:client。用戶認證相關錯誤taosX 的 Authentication 標簽頁與服務器側(cè)實際開啟的認證方式不匹配。與服務端管理員核對開啟的是 Anonymous / Username / OPC UA 用戶證書 中的哪一種再在 taosExplorer 中切到對應的標簽頁填寫憑據(jù)。其中read header failed: EOF是 GE CSS 接入中最具代表性的現(xiàn)象它發(fā)生在安全通道握手階段本質(zhì)是服務端在驗證客戶端證書時主動關閉了連接而非網(wǎng)絡故障。只要完成了上一步的「信任 映射」兩步操作重試即可通過。關鍵要點推薦參考配置為SignAndEncrypt Basic128Rsa15 Anonymous用戶認證若服務端配置了其他方式按實際配置選 Username 或 Certificates。當 Security Mode 為SignAndEncrypt時taosX 仍然需要一個安全通道客戶端證書與私鑰。安全通道證書是在Connection Configuration區(qū)域上傳不是在Authentication → Certificates標簽頁。GE OPC UA Server 必須把 taosX 證書標識映射到一個有權限的用戶僅信任不映射仍會失敗。服務端證書關聯(lián)完成后重新在 taosExplorer 中執(zhí)行檢查連通性Check Connection。延伸閱讀生成 taosX OPC UA 客戶端證書證書生成腳本與驗證命令Windows / Linux / macOSOPC UA 數(shù)據(jù)接入總覽安全模式、安全策略、點位集、采集配置等通用步驟Ignition OPC UA Server 集成指南另一款常見 OPC UA Server 的對照配置流程【免費下載鏈接】tdengineTDengine is an open source, high-performance, cloud native time-series database optimized for Internet of Things (IoT), Connected Cars, Industrial IoT and DevOps.項目地址: https://gitcode.com/taosdata/tdengine創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考 TDengine 接入 GE CSS OPC UA Server：taosExplorer 安全通道與用戶認證配置指南
TDengine 接入 GE CSS OPC UA ServertaosExplorer 安全通道與用戶認證配置指南【免費下載鏈接】tdengineTDengine is an open source, high-performance, cloud native time-series database optimized for Internet of Things (IoT), Connected Cars, Industrial IoT and DevOps.項目地址: https://gitcode.com/taosdata/tdengineGE CSS OPC UA Server 是 GE 工控產(chǎn)品線Cimplicity / Proficy 等對外提供 OPC UA 服務的典型數(shù)據(jù)源在電力、流程工業(yè)等場景中承載大量設備點位數(shù)據(jù)。本文以 TDengine 的無代碼數(shù)據(jù)接入組件 taosX / taosExplorer 為主體完整講解如何通過安全通道Secure Channel證書 用戶認證Authentication雙層級安全體系把 GE CSS OPC UA Server 的點位數(shù)據(jù)可靠地寫入 TDengine并給出服務端證書信任/映射、連通性檢查與常見錯誤排查的完整操作路徑。讀完本文你將能夠在 taosExplorer 中獨立完成「數(shù)據(jù)寫入 → OPC UA → GE CSS 服務端 → 入庫」的端到端配置。OPC UA 安全體系兩條相互獨立的層級接入 GE CSS OPC UA Server 時OPC UA 安全分為兩個相互獨立的層級兩者都必須滿足缺一不可安全通道Secure Channel負責傳輸層加密保護客戶端與服務器之間的通信不被竊聽或篡改。當 Security Mode 為SignAndEncrypt時始終必需。在 taosExplorer 中通過Secure Channel CertificateCertificates Private Key兩個字段配置。用戶認證Authentication負責用戶身份驗證確認「誰在連接」。由 GE OPC UA Server 端實際開啟的認證方式?jīng)Q定taosExplorer 中 Authentication 標簽頁的選擇必須與之一致。理解這兩層的區(qū)別是排查一切問題的前提安全通道證書解決「通信是否加密、客戶端身份是否可識別」用戶認證解決「該客戶端是否有權訪問」兩者各自獨立生效。生成 taosX OPC UA 客戶端證書按 生成 taosX OPC UA 客戶端證書 中給出的腳本本場景推薦使用 Windowscmd.exe版本生成client_cert.pem與client_key.pem兩個文件。證書生成有幾點硬性要求任何一項不滿足都會導致握手失敗格式必須為 PEMtaosX OPC UA 插件使用tls.LoadX509KeyPair()加載證書不接受 DER、PKCS#12 等其他格式。SAN 必須包含 Application URI證書的 Subject Alternative Name 中必須包含URI:urn:taosx-opc:client否則服務端會拒絕并報StatusBadCertificateUriInvalid。不能復用服務端證書從 GE、Ignition 等服務器下載到的證書如*.der是服務器自身的證書不能用作客戶端證書必須自行生成。生成后記錄證書的SHA1 指紋——后面在 GE 服務端配置時需要用到openssl x509 -in client_cert.pem -noout -fingerprint -sha1完整生成腳本W(wǎng)indows cmd.exe / PowerShell、Linux / macOS 三個版本及驗證命令見 生成 taosX OPC UA 客戶端證書該指南同樣適用于 Ignition 等其他需要證書加密的 OPC UA 服務器場景執(zhí)行一次即可。在 taosExplorer 中配置連接在 taosExplorer 中進入數(shù)據(jù)寫入 → 新增數(shù)據(jù)源英文界面為 Data In → Create New Data In Task選擇OPC UA按下表設置。連接配置taosExplorer 字段值Server Endpointhost:port/GeCssOpcUaServer按實際部署填寫Security ModeSignAndEncryptSecurity PolicyBasic128Rsa15Secure Channel Certificate上傳client_cert.pemCertificates Private Key上傳client_key.pem關于 Endpoint 路徑需要說明GE CSS OPC UA Server 的應用路徑固定為/GeCssOpcUaServer這與 OPC UA 通用接入 中舉例的192.168.1.66:53530/OPCUA/SimulationServer這類通用端點不同——不同廠商 OPC UA Server 的端點格式、安全策略組合、客戶端證書信任流程都存在差異這也是 taosExplorer 官方為 GE、Ignition 等常見服務端單獨提供專屬集成指南的原因。安全模式與安全策略的含義SignAndEncrypt與Basic128Rsa15來自 OPC UA 通用接入文檔 中定義的安全模式/安全策略體系安全模式Security Mode決定數(shù)據(jù)保護級別None明文傳輸Sign數(shù)字簽名驗證保護數(shù)據(jù)完整性SignAndEncrypt簽名 加密保證完整性、真實性和保密性。安全策略Security Policy決定具體加密/簽名算法Basic128Rsa15RSA 算法 128 位密鑰長度本指南推薦值此外還支持Basic256、Basic256Sha256、Aes128Sha256RsaOaep、Aes256Sha256RsaPss等。當安全模式為Sign或SignAndEncrypt時安全通信證書與安全通信私鑰兩個配置項都必須填寫缺一不可。用戶認證按服務端實際開啟的認證方式選擇對應的 Authentication 標簽頁服務端開啟的認證方式taosExplorer 設置匿名默認 / 本指南驗證場景Authentication 選Anonymous用戶名/密碼Authentication 選Username填寫服務端創(chuàng)建的用戶名密碼OPC UA 用戶證書Authentication 選Certificates上傳服務端用戶證書白名單中對應的證書與私鑰不必與安全通道證書相同:::noteAuthentication → Certificates不是用來再傳一次安全通道證書。除非 GE OPC UA Server 明確開啟了 OPC UA 用戶證書認證并把某張證書加入了用戶白名單否則保持Anonymous即可。在常規(guī)部署中證書只用于保護安全通道不要誤把安全通道證書復用到用戶認證處。 :::如果拿不準服務端開啟了哪種用戶認證可以先選Anonymous試一次。信任并映射客戶端證書服務端操作在 taosExplorer 中第一次執(zhí)行檢查連通性Check Connection通常會失敗——這是預期行為因為 GE OPC UA Server 還沒有信任、也沒有把新的 taosX 客戶端證書映射到任何用戶。在 GE OPC UA Server 主機上打開 OPC UA Server 配置進入OPC UA Server - Security Certificate / User Association添加或選擇 taosX 客戶端證書的標識并把它關聯(lián)到一個有權限的用戶例如字段值Certificate Identifierclient_cert.pem的 SHA1 指紋去掉冒號Privileges User Name一個有權限的 GE Cimplicity 用戶例如admin關鍵點在于「映射」二字GE 服務端不僅要信任這張證書還必須把證書標識SHA1 指紋去冒號顯式關聯(lián)到某個擁有權限的 Cimplicity 用戶證書才能獲得數(shù)據(jù)訪問資格。把證書與該用戶關聯(lián)完成后回到 taosExplorer 再次執(zhí)行檢查連通性Check Connection。通過后即可繼續(xù)配置點位集選擇數(shù)據(jù)點位 / 上傳 CSV / 告警與事件、采集模式subscribe/observe/event等任務參數(shù)并提交任務相關通用配置細節(jié)可參考 OPC UA 數(shù)據(jù)接入總覽。常見錯誤排查現(xiàn)象可能原因處理方式第一次 Check Connection 報read header failed: EOFGE OPC UA Server 拒絕/關閉了安全通道握手因為 taosX 客戶端證書還未被信任或還未映射到用戶。在服務端添加 taosX 證書標識并關聯(lián)到一個有權限的用戶再重試。StatusBadSecurityChecksFailedSecurity Mode、Security Policy、證書或私鑰錯誤。確認為SignAndEncrypt、Basic128Rsa15并使用正確的client_cert.pem與client_key.pem。StatusBadCertificateUriInvalid證書中沒有 taosX OPC UA Application URI。重新生成證書確認 SAN 中包含URI:urn:taosx-opc:client。用戶認證相關錯誤taosX 的 Authentication 標簽頁與服務器側(cè)實際開啟的認證方式不匹配。與服務端管理員核對開啟的是 Anonymous / Username / OPC UA 用戶證書 中的哪一種再在 taosExplorer 中切到對應的標簽頁填寫憑據(jù)。其中read header failed: EOF是 GE CSS 接入中最具代表性的現(xiàn)象它發(fā)生在安全通道握手階段本質(zhì)是服務端在驗證客戶端證書時主動關閉了連接而非網(wǎng)絡故障。只要完成了上一步的「信任 映射」兩步操作重試即可通過。關鍵要點推薦參考配置為SignAndEncrypt Basic128Rsa15 Anonymous用戶認證若服務端配置了其他方式按實際配置選 Username 或 Certificates。當 Security Mode 為SignAndEncrypt時taosX 仍然需要一個安全通道客戶端證書與私鑰。安全通道證書是在Connection Configuration區(qū)域上傳不是在Authentication → Certificates標簽頁。GE OPC UA Server 必須把 taosX 證書標識映射到一個有權限的用戶僅信任不映射仍會失敗。服務端證書關聯(lián)完成后重新在 taosExplorer 中執(zhí)行檢查連通性Check Connection。延伸閱讀生成 taosX OPC UA 客戶端證書證書生成腳本與驗證命令Windows / Linux / macOSOPC UA 數(shù)據(jù)接入總覽安全模式、安全策略、點位集、采集配置等通用步驟Ignition OPC UA Server 集成指南另一款常見 OPC UA Server 的對照配置流程【免費下載鏈接】tdengineTDengine is an open source, high-performance, cloud native time-series database optimized for Internet of Things (IoT), Connected Cars, Industrial IoT and DevOps.項目地址: https://gitcode.com/taosdata/tdengine創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考