opc-ua - 使用 Eclipse Milo 了解 OPC-UA 安全性

Question

我是 OPC-UA 世界和 Eclipse Milo 的新手。我不明白这里的保安是如何运作的，讨论eclipse-milo提供的client-example

我发现连接 OPCUA 服务器时使用了一些安全属性:

安全策略，消息安全模式，客户证书，客户端 key 对，setIdentityProvider，

1. 上述配置如何相互关联？

我试图运行客户端示例 -> BrowseNodeExample。此示例在内部运行ExampleServer。ExampleServer 配置为与匿名和用户名密码提供程序一起运行。它还必须接受 SecurityPolicy.None、Basic128Rsa15、Basic256、Basic256Sha256 和 MessageSecurityMode code> 为 SignandEncrypt，但 SecurityPolicy.None 除外，其中 MessageSecurityMode 也是 None。

问题出在 AnonymousProvider 上，我可以使用上述所有 SecurtiyPolicy 和 MessageSecurityMode 对连接到服务器(没有提供客户端证书)。但我无法对 UsernameProvider 执行相同的操作，对于 UsernameProvider 仅适用于 SecurityPolicy MessageSecurityMode 与 None 运行成功。所有其他对都会引发安全检查失败异常(当提供证书时)，否则用户访问被拒绝(当未提供客户端证书时)。如何做到这一点？

最后，如果有人能给我指出 Eclipse Milo 的正确用户文档，那就太好了。因为除了示例代码之外我看不到任何文档，而且它们也没有记录。

Answer 1

SecurityPolicy 和 MessageSecurityMode 齐头并进。安全策略规定了将用于签名和加密的算法集(如果有)。消息安全模式决定消息是否被签名、签名和加密，或者在不使用安全性的情况下都不进行签名和加密。

如果您计划使用安全性，则必须配置

clientCertificate 和 clientKeyPair。毕竟，如果您没有证书和私钥，则无法使用加密或签名。

IdentityProvider 用于提供识别 session 用户的凭据(如果有)。

当ExampleServer启动时，它会记录它使用临时安全目录，如下所示:security temp dir:/var/folders/z5/n2r_tpbn5wd_2kf6jh5kn9_40000gn/T/security.当客户端使用任何类型的安全性进行连接时，其证书最初不受服务器信任，从而导致您看到 Bad_SecurityChecksFailed 错误。在此目录中，您将找到一个文件夹 rejected，其中存储了被拒绝的客户端证书。如果您将证书移至trusted 文件夹，客户端应该能够使用安全性进行连接。