方法：IDEとPLCの証明書の取り扱い

PLC証明書を扱う際には、ユーザーの役割を明確に区別する必要があります。システム管理者のみがPLC証明書ストア内の証明書の設定と更新を行えるように、システムオペレーターは適切な措置を講じる必要があります。また、PLC上の証明書失効リストを変更できるのもシステム管理者のみです。

証明書失効リスト内の証明書の作成、更新、変更は、システム管理者のみが行うことができます。PLC証明書ストアへのアクセスは、セキュリティ上非常に重要です。

PLC証明書ストアの設定は、PLCが有効な証明書を必要とする使用事例を定義します。このために必要な証明書は、ローカルのWindows証明書ストアにインストールしておく必要があります。

CODESYS 暗号化ウィザードと、必要な PLC 証明書の作成と管理が容易になります。 セキュリティ画面ビュー、 デバイス タブ。別の方法として、を使用することもできます。 PLC シェル デバイスエディターのコマンド。どちらの場所でも、現在接続されている PLC の証明書ストアを表示し、証明書を作成できます。どちらのサイトでも、証明書が必要な PLC のすべての「ユースケース」の概要も確認できます。証明書が既に存在するかどうかが表示されます。ユースケースの例: 暗号化された通信、 OPC ユーザーサーバー。

各使用例において、CODESYSまず、必要な証明書がローカルで信頼できる証明書として利用可能かどうかを確認します。 Windows証明書ストア。

アプリケーション用の有効な証明書がまだ PLC にローカルにインストールされていない場合は、自己署名証明書を生成できます。セキュリティ画面またはPLCシェルコントローラー上で、すぐに作業を続けられるようにします。自己署名証明書は最初に作成されます。My Certificatesカテゴリ。その後、信頼できる証明書 PLCが将来的に信頼できるように、証明書をカテゴリに移動できます。たとえば、証明書はブラックリストのために信頼できないと分類されるか、PLC自体がすぐにチェックできなかったため、明示的な検証のために隔離されます。チェックが完了したら、証明書をカテゴリに移動できます。信頼できる証明書カテゴリ。PLCから証明書を削除することもできます。

詳細については、以下を参照してください。自己署名証明書の生成自己署名証明書の生成

より高いレベルのセキュリティを実現するには、自己署名証明書をCA署名証明書 CA署名証明書をまだお持ちでない場合は、CAオフィスにリクエストすることができます（証明書署名依頼、CSR)。これを行うには、関連するPLC証明書ファイルをエクスポートします。セキュリティ画面またはPLCシェルローカルファイルシステムに書き込みます。署名済みのCA証明書が返送されたら、それをPLC証明書ストアとローカルのWindows証明書ストアにインポートします。

CSRの直接作成は、 PLCシェルそしてCODESYS Security Agent V1.4.0.0以降もセキュリティ画面（デバイスタブ）。

CA 署名付き証明書には CSR の次のエントリが適用されていることに注意してください。 Key Usage、 Extended Key Usage、 Subject Alternative Name、それぞれ Critical フラグ。

同じユースケースに対する複数の証明書

システムオペレーターは、証明書が期限内に更新されることを確認する必要があります。詳細については、以下を参照してください 証明書の更新証明書の更新

証明書の失効リストは、現在PLCシェル経由でのみ変更可能です。この失効リストを変更できるのは、システムオペレーターのシステム管理者のみです。

OPC UAサーバーまたはクライアントのルートCAと最終証明書の間には、1つ以上の中間CA証明書が存在します。この中間証明書層は、ルートCAを変更することなく、必要に応じて容易に失効および置換できます。

証明書チェーンのサポートは、ユーザーフレンドリー性を高め、設定を簡素化するための重要な手段です。

実際に使用される X.509 証明書に加えて、証明書チェーンには、それぞれの中間 CA 証明書とルート CA 証明書も含まれます。これらの追加証明書は、チェーン全体を信頼できるルート CA まで検証するために必要です。X.509 証明書は、特定のエンティティ (ユーザー、デバイス、ソフトウェアなど) を識別する一意のデジタル証明書です。

実際に使用される X.509 証明書に加えて、証明書チェーンには、それぞれの中間 CA 証明書とルート CA 証明書も含まれます。これらの追加証明書は、チェーン全体を信頼できるルート CA まで検証するために必要です。X.509 証明書は、特定のエンティティ (ユーザー、デバイス、ソフトウェアなど) を識別する一意のデジタル証明書です。