DevOps / Säkerhet

Skydda immateriella rättigheter och
Hantera PLC-åtkomst i stor skala

T-IA Connect ger dig programmatisk kontroll över hela säkerhetsstacken i TIA Portal: know-how-skydd för block, lösenord för CPU-åtkomstnivåer, användarroller på projektnivå, OPC UA-autentisering och webbserveråtkomst - allt via mer än 13 MCP-verktyg och REST-slutpunkter.

Omfattande säkerhetshantering

Varje säkerhetslager i TIA Portal, exponerat genom ett konsekvent API

Block Know-how-skydd

Skydda enskilda block eller tillämpa batchskydd över hela projektet. Lösenordsbaserad kryptering förhindrar reverse engineering av proprietära algoritmer och styrlogik. Ta bort skyddet selektivt för underhåll eller uppdateringar.

CPU-lösenordshantering

Ställ in och hantera lösenord för åtkomstnivåerna FullAccess, ReadAccess, HmiAccess och NoAccess. Konfigurera displaylösenord och master secrets programmatiskt - ingen manuell interaktion med TIA Portal GUI krävs.

UMAC-användarhantering

Skapa och ta bort användare på projektnivå, definiera anpassade roller och tilldela eller återkalla rollmedlemskap. Implementera rollbaserad åtkomstkontroll (RBAC) direkt i TIA Portal-projekt via automatiseringsskript.

OPC UA-autentisering

Skapa och ta bort OPC UA-användare på CPU:ns OPC UA-server. Hantera klientcertifikat och autentiseringsuppgifter för att kontrollera vilka system och applikationer som kan prenumerera på processdata.

Åtkomstkontroll för webbserver

Hantera CPU-webbserveranvändare för det inbyggda S7-1500-webbgränssnittet. Skapa konton med specifika privilegier och ta bort dem när åtkomsten ska återkallas - integrerat i dina onboarding- och offboarding-arbetsflöden.

Enhetlig säkerhetskonfiguration

Tillämpa en komplett säkerhetshållning i en operation med configure_security. Granska det aktuella tillståndet med get_security_summary - ett enda anrop som returnerar skyddsstatus, aktiva användare, åtkomstnivåer och rolltilldelningar.

CPU-åtkomstnivåer

Fyra nivåer av åtkomstkontroll, alla konfigurerbara via API

ÅtkomstnivåNyckelBehörigheterTypiskt användningsfall
Full åtkomstFullAccessLäsa, skriva, ladda ner, gå online, ändra konfigurationIngenjörsarbetsstationer, drifttagningsingenjörer
LäsåtkomstReadAccessLäsa program, övervaka taggar, ingen skrivning eller nerladdningUnderhållspersonal, revisorer, skrivskyddad diagnostik
HMI-åtkomstHmiAccessEndast läsa/skriva HMI-taggar, ingen programåtkomstHMI-paneler, SCADA-system, operatörsterminaler
Ingen åtkomstNoAccessCPU:n är helt låst, alla anslutningar kräver lösenordProduktionslåsta maskiner, IP-känsliga distributioner

Bästa praxis för säkerhet

Mönster som team automatiserar med T-IA Connect

Automated Protection Pipeline

Kör denna sekvens i slutet av varje release-build

1

Kompilera projektet och verifiera noll fel

2

Exportera alla block som SCL-källa för Git-arkivering

3

Tillämpa batchvis know-how-skydd på alla produktionsblock

4

Ställ in CPU-lösenord för målåtkomstnivån

5

Generera säkerhetssammanfattningsrapport och bifoga till releasen

Checklista för åtkomstkontroll

Verifiera dessa punkter innan någon maskin levereras

Alla proprietära FB/FC-block är know-how-skyddade

FullAccess-lösenord är inställt och lagrat i secret vault

HmiAccess-lösenord är skilt från FullAccess

NoAccess-nivå aktiverad på maskiner utan underhåll på plats

OPC UA-användare är begränsade till skrivskydd där det är tillämpligt

Webbserveranvändare tillhandahålls per person, inte delade konton

UMAC-roller följer principen om minsta privilegium

Referens för MCP-verktyg

Fler än 13 säkerhetsverktyg tillgängliga via MCP och REST API

Blockskydd

protect_block, unprotect_block, protect_blocks (batch), get_block_protection_status

CPU-lösenord

set_plc_password, reset_plc_password, set_display_password, manage_master_secret

UMAC & roller

create_project_user, delete_project_user, create_custom_role, delete_custom_role, assign_role_to_user, remove_role_from_user, get_project_users, get_project_roles

OPC UA & webbserver

create_opcua_user, delete_opcua_user, get_opcua_config, create_webserver_user, delete_webserver_user, get_webserver_config

Online-autentisering

set_online_auth_password, clear_online_auth_password, get_online_auth_status - lagra autentiseringsuppgifter för automatiserade anslutningar till lösenordsskyddade CPU:er

Säkerhetssammanfattning

configure_security, get_security_summary - tillämpa en komplett säkerhetskonfiguration eller granska det aktuella tillståndet i ett enda API-anrop

Vanliga frågor

Kan jag tillämpa know-how-skydd på alla block samtidigt?

Ja. Verktyget protect_blocks tillämpar lösenordsbaserat skydd på alla valda block i ett enda anrop. Du kan rikta in dig på hela projektet eller en specifik mapp, vilket gör det praktiskt att köra i slutet av en build-pipeline innan en maskin levereras.

Lagras CPU-lösenordet någonstans av T-IA Connect?

Nej. T-IA Connect skickar lösenordet till TIA Portal Openness i minnet under API-anropet. Det skrivs aldrig till disk eller loggas av servern. Hantera dina lösenord i ditt eget secret vault (Infisical, HashiCorp Vault, etc.) och injicera dem vid körning.

Vad är skillnaden mellan know-how-skydd och lösenord för åtkomstnivåer?

Know-how-skydd krypterar enskilda block så att deras källkod inte kan läsas eller exporteras - det skyddar din immateriella egendom i TIA Portal-projekttfilen. CPU-åtkomstnivålösenord styr vem som kan ansluta till den fysiska eller virtuella CPU:n över nätverket. Båda lagren är oberoende och kompletterar varandra.

Kan jag automatisera användarprovisionering när en ny ingenjör går med i projektet?

Ja. UMAC-verktygen (create_project_user, create_custom_role, assign_role_to_user) kan anropas från valfritt skript eller CI-pipeline. Integrera dem med ditt HR-system eller identitetsleverantör för att provisionera TIA Portal-åtkomst automatiskt när en ny teammedlem läggs till i ett projekt.

Automatisera ditt arbetsflöde för PLC-säkerhet

Sluta konfigurera säkerhet manuellt i TIA Portal. Skripta den, granska den och genomdriv den konsekvent på varje maskin du levererar.