Sertifikalar

Bu kılavuzda Proxus kurulumunuzdaki her sertifikanın nereden geldiğini, tarayıcıların ve cihazların bu sertifikalara nasıl güveneceğini ve sertifikaların nasıl yenilenip değiştirileceğini öğreneceksiniz. Sertifika deposu, tüm sertifikaları merkez sunucunun veritabanında tutar ve platformun kendi sertifika yetkilisi (CA) olarak çalışır. Böylece merkez sunucu, tüm Edge Gateway'ler, OPC UA bağlantılarınız ve veri hedefleriniz aynı sertifikaları kullanır.

Başlamadan önce

• Administrators rolündeki bir kullanıcıyla oturum açın.
• Kuruluşunuzun CA'sını kullanacaksanız CA sertifikası ve özel anahtarı .pfx ya da .p12 dosyası olarak elinizde olmalıdır. Dosya parolalı olabilir.
• Kendi sertifika yetkilinizden aldığınız tek bir sertifikayı kullanacaksanız sertifika ve özel anahtarı şu biçimlerden birinde olmalıdır: parolasız .pfx ya da .p12 dosyası veya .key dosyasıyla birlikte .pem, .crt ya da .cer dosyası.

Platform CA'sı

Merkez sunucu ilk açılışında 20 yıl geçerli Proxus Platform CA sertifika yetkilisini oluşturur. Platformun kendisi için gereken tüm sertifikaları bu CA verir:

• merkez sunucunun HTTPS sertifikası (yeni kurulumlarda);
• merkez sunucu ile Edge Gateway'ler arasındaki tüm trafiği taşıyan NATS sunucusunun sertifikası;
• her Edge Gateway'in HTTPS bağlantı noktası ve MQTT sunucusu için kullandığı sertifika.

Bu sertifikaların tamamı aynı CA'ya bağlı olduğu için tarayıcıların, SCADA sistemlerinin ya da MQTT cihazlarının yalnızca bu CA'ya güvenmesi yeterlidir. CA sertifikasını almak için CA'yı indir düğmesine tıklayın (bkz. Tarayıcıların ve cihazların platforma güvenmesini sağlayın).

Sertifikaların kullanım yerleri

Sertifika deposu

Güvenlik > Sertifika deposu ekranını açın.

1. Yükle, bir sertifika dosyasını içe aktarır.
2. Kendinden imzalı, yeni bir kendinden imzalı sertifika oluşturur.
3. Varsayılan yap, seçili sertifikayı merkez sunucunun HTTPS sertifikası yapar. Yalnızca özel anahtarı olan bir sunucu sertifikası varsayılan olabilir; diğerlerinde düğme kullanılamaz.
4. Güven, seçili sertifikayı OPC UA için güvenilir olarak işaretler.
5. Reddet, sertifikayı reddedildi olarak işaretler. Reddedilen sertifika artık kullanılmaz.

Güven ve Reddet yalnızca OPC UA sunucularının sertifikalarında çalışır: özel anahtarı depoda olmayan ve platformun kendisinin kullanmadığı sertifikalar. Platform CA'sında, merkez sunucunun HTTPS ve NATS sertifikalarında, Edge Gateway sertifikalarında ve oturum anahtarı sertifikasında bu düğmeler kullanılamaz; bir Edge Gateway'in OPC UA sunucusu raporu da bu sertifikaları değiştiremez.

Depoda şu eylemler de bulunur:

Güven durumu alanında Tümü, Güvenilenler ya da Reddedilenler seçeneğiyle listeyi daraltabilirsiniz. Durum sütununda Etkin, Süresi yakında doluyor (30 günden az kaldı), Süresi doldu ya da Devre dışı (reddedildi) yazar. Proxus bitiş tarihlerini günde bir kez kontrol eder. Süresi 30 gün içinde dolacak her sertifika için sistem günlüklerine uyarı yazar.

Kullanım sütunu sertifikanın kullanıldığı her işi yazar; örneğin MQTT sunucusu, Edge Gateway HTTPS.

Yeni kurulumdaki sertifikalar

Yeni bir merkez sunucu ilk açılışta şu sertifikaları oluşturur. Hiçbirini sizin eklemeniz gerekmez:

Yenilenen sertifikaların eski sürümleri

Liste kullanımdaki sertifikaları gösterir. Bir sertifika yenilendiğinde eski sürümü 30 gün saklanır, sonra kendiliğinden silinir; bir veri hedefi ya da cihaz profili hâlâ kullanıyorsa silinmez. Bir Edge Gateway'i silmek onun sertifikalarını da siler.

Sertifikayı kullanan nesneler

Ayrıntılarını görmek için sertifikayı açın. Şu alanlar, sertifikaya nelerin bağlı olduğunu gösterir:

Bir sertifikayı reddetmeden ya da değiştirmeden önce Kullanıldığı yerler alanını kontrol edin.

Silinemeyen sertifikalar

Depoda şu sertifikalar silinemez:

• platformun sertifikalarını imzalayan CA;
• merkez sunucunun oturum anahtarlarını koruyan sertifika;
• verdiği sertifikalar hâlâ kullanılan CA;
• bir veri hedefinin ya da cihaz profilinin kullandığı sertifikalar.

Varsayılan HTTPS sertifikası da silinemez. Silmek için önce başka bir sertifikayı varsayılan yapın.

Tarayıcıların ve cihazların platforma güvenmesini sağlayın

1. Güvenlik > Sertifika deposu ekranında CA'yı indir düğmesine tıklayın. CA sertifikalarını içeren bir PEM dosyası iner. Dosyada özel anahtar bulunmadığı için dosyayı serbestçe dağıtabilirsiniz.
2. Dosyayı gereken her yerde güvenilir kök sertifika olarak kurun: kullanıcıların bilgisayarları (ya da şirketinizin cihaz yönetim sistemi), merkez sunucuya bağlanan SCADA sistemleri ve diğer araçlar, Edge Gateway'in MQTT sunucusuna 8883 numaralı bağlantı noktasından bağlanan MQTT cihazları.

Bundan sonra tarayıcılar merkez sunucuyu HTTPS üzerinden uyarı vermeden açar. Bunun için tarayıcıda kullanılan adresin merkez sunucunun sertifikasındaki adlardan biri olması gerekir (bkz. Merkez sunucunun HTTPS sertifikası).

Kurumsal CA'nızı kullanın

Kuruluşunuzun kendi sertifika yetkilisi varsa platformun sertifikalarını bu CA'ya imzalatabilirsiniz. Böylece kurumsal CA'nıza zaten güvenen istemciler, ek bir işlem yapmadan Proxus'a da güvenir.

1. Kurumsal CA kullan düğmesine tıklayın.
2. CA dosyasını seçin: CA sertifikasını ve özel anahtarını içeren .pfx ya da .p12 dosyası. Dosya parolalıysa parolayı girin.
3. İşlemi onaylayın.

Bu andan itibaren platformun verdiği tüm sertifikaları sizin CA'nız imzalar. Proxus Platform CA, verdiği sertifikalar yenilenene kadar güvenilir kalır. Bu sayede geçiş sırasında hiçbir bağlantı kopmaz. Tüm sertifikaları tek seferde kendi CA'nıza geçirmek için mevcut sertifikaları yenileyin.

Depo şu dosyaları kabul etmez: CA olmayan, özel anahtarı bulunmayan ya da süresi 30 gün içinde dolacak sertifikalar.

Sertifikayı yenileyin

1. Bir sertifika seçin.
2. Yenile düğmesine tıklayın ve işlemi onaylayın.

Yeni sertifikayı platform CA'sı verir. Yeni sertifika, eskisiyle aynı adları ve kullanım amacını taşır, yeni bir anahtarla oluşturulur ve iki yıl geçerlidir. Eski sertifikayı kullanan her şey yeni sertifikaya geçer: merkez sunucunun HTTPS bağlantısı, veri hedefleri ve OPC UA bağlantıları.

• Kendinden imzalı sertifika yenilendiğinde yerine platform CA'sının verdiği bir sertifika gelir.
• Proxus dışında verilmiş sertifikalar burada yenilenemez. Bu sertifikaları veren yerde yenileyin ve yeniden yükleyin.
• CA sertifikaları burada yenilenmez.

Otomatik yenileme

Platformun kendi verdiği sertifikalar (merkez sunucunun NATS sertifikası, Edge Gateway'lerin sertifikaları ve Otomatik yenilenir olarak işaretli diğer sertifikalar), süreleri dolmadan 30 gün önce yenilenir. Merkez sunucu bu kontrolü günde bir kez yapar. Hiçbir şeyi yeniden başlatmanız gerekmez. Merkez sunucunun NATS sunucusu, Edge Gateway'ler bağlı kalırken yeni sertifikasını yükler. Her Edge Gateway da yeni sertifikasını bir sonraki isteğinde alır.

Merkez sunucunun HTTPS sertifikası

Merkez sunucu varsayılan olarak 8443 numaralı bağlantı noktasında, Varsayılan olarak işaretli sertifikayla HTTPS hizmeti verir.

Yeni kurulumlarda merkez sunucunun sertifikasını platform CA'sı verir. Sertifika şu adları kapsar:

• makinenin adı ve IP adresleri;
• localhost;
• Proxus-config.toml dosyasında [Service] bölümündeki PublicHostNames anahtarına virgülle ayırarak yazdığınız adlar. Örneğin kullanıcıların tarayıcıya yazdığı DNS adı ya da NAT adresi.

[Service]
PublicHostNames = "proxus.lyonfoods.local, 203.0.113.10"

Önceki bir sürümden yükseltilen kurulumlar kendinden imzalı Proxus (Self-Signed) sertifikasını kullanmaya devam eder. Platform CA'sına güvenen tarayıcıların güveneceği bir sertifikaya geçmek için bu sertifikayı seçin ve Yenile düğmesine tıklayın. Yenilenen sertifika merkez sunucunun adlarını kapsar.

Merkez sunucunun HTTPS sertifikasını değiştirin

1. Yeni sertifikayı oluşturun, yükleyin ya da yenileyin. Sertifika, özel anahtarı olan bir sunucu sertifikası olmalıdır. CA'lar, istemci sertifikaları ve platformun kendi NATS, Edge Gateway ve oturum sertifikaları varsayılan olamaz.
2. Sertifikayı seçin, Varsayılan yap düğmesine tıklayın ve Varsayılan yap ile onaylayın.

Merkez sunucu bir dakika içinde yeni sertifikayı kullanmaya başlar. Hiçbir şeyi yeniden başlatmanız gerekmez ve kimsenin oturumu kapanmaz. Çünkü oturumları koruyan anahtarlar HTTPS sertifikasıyla değil, ayrı bir sertifikayla (kullanım amacı Oturum anahtarı koruması) korunur. Yükseltilen kurulumlarda bu iş için mevcut varsayılan sertifika kullanılmaya devam eder.

HTTPS'i kapatmak, tüm HTTP trafiğini HTTPS'e yönlendirmek ya da HTTPS'i başka bir bağlantı noktasından yayınlamak için bkz. Güvenlik.

Deponun özel anahtarlarını koruyun

Depodaki özel anahtarlar şifrelenmiş olarak saklanır. Bu anahtarları şifreleyen ve çözen depo anahtarı veritabanında bulunmaz:

Önceki sürümlerde saklanan sertifikalar, 2.0.0 sürümü ilk kez açıldıktan birkaç dakika sonra otomatik olarak şifrelenir.

Kendinden imzalı sertifika oluşturun

Kendinden imzalı sertifikayı testlerde ya da tüm istemcilerin bu sertifikaya güvenecek şekilde ayarlandığı ortamlarda kullanın. Tarayıcılar kendinden imzalı sertifikalarda uyarı gösterir. Çoğu durumda platform CA'sının verdiği bir sertifika daha iyi bir seçimdir.

1. Kendinden imzalı düğmesine tıklayın.
2. Penceredeki alanları doldurun ve Oluştur düğmesine tıklayın.

1. Konu (CN): sertifikanın adı. Örnek: proxus.lyonfoods.local.
2. Konu alternatif adları: istemcilerin merkez sunucuya erişirken kullandığı tüm adlar ve IP adresleri, virgülle ayrılmış olarak. Örnek: proxus.lyonfoods.local, 10.20.0.15. Konu adı ve localhost her zaman eklenir.
3. Geçerlilik (yıl): 1 ile 10 arası. Varsayılan değer 2'dir.
4. Kullanım: sertifikanın kullanım amacı. Platform, merkez sunucunun kendi kullanımı içindir.

Sertifika 2048 bitlik RSA anahtarıyla oluşturulur ve listede "konu (Self-Signed)" adıyla görünür. Bu sertifikayı daha sonra platform CA'sının verdiği bir sertifikaya çevirmek için sertifikayı seçin ve Yenile düğmesine tıklayın.

Sertifika yetkilinizden aldığınız sertifikayı yükleyin

Şirketinizin sertifika yetkilisinden aldığınız tek bir sertifikayı (örneğin merkez sunucunun HTTPS bağlantısı için) depoya yükleyin. Merkez sunucunun DNS adının sertifikanın konu alternatif adları arasında olduğundan emin olun.

1. Yükle düğmesine tıklayın.
2. Dosyaları seçin: tek bir .pfx ya da .p12 dosyası veya .key dosyasıyla birlikte .pem, .crt ya da .cer sertifikası. Adında ca geçen dosya, sertifika yetkilisinin zinciri olarak okunur.
3. Sertifika listede görünür. Depoda zaten bulunan bir sertifika "Sertifika zaten var" iletisiyle reddedilir.

Anahtarı olmayan .pem, .crt ya da .cer dosyası yalnızca ortak sertifika olarak içe aktarılır. Bu sertifikayı güvenilir yapabilir ya da bir veri hedefinde Güvenilen sunucu sertifikası olarak seçebilirsiniz, ancak varsayılan sertifika yapamazsınız.

Bir OPC UA sunucu sertifikasına güvenin ya da reddedin

Proxus yalnızca sertifikası güvenilir olan OPC UA sunucularına bağlanır. Güven listesi Sertifika deposunda tutulur ve tüm Edge Gateway'ler için geçerlidir. Her Edge Gateway listeyi dakikada bir kopyalar. Bu yüzden burada yaptığınız Güven ya da Reddet işlemi bir dakika içinde tüm Edge Gateway'lerde geçerli olur.

Reddedilen bir sunucuyu güvenilir yapın

Edge Gateway, güvenmediği bir OPC UA sunucu sertifikasıyla karşılaştığında bağlantıyı reddeder ve sertifikayı merkez sunucuya bildirir.

1. Güvenlik > Sertifika deposu ekranında Güven durumu alanını Reddedilenler olarak ayarlayın.
2. Sertifikayı bulun. Sertifikanın adı "OPC UA server ad (adres)" biçimindedir.
3. Sunucuyu tanıdığınızdan emin olun. Ardından sertifikayı seçin ve Güven düğmesine tıklayın.

Bağlantısı reddedilen cihazlar bir sonraki yeniden denemede bağlanır.

Sunucu sertifikası şu yollarla da güvenilir hâle gelir:

• Cihaz bağlantı sihirbazındaki Güven adımı, sunucunun sertifikasını depoya tüm Edge Gateway'ler için güvenilir olarak kaydeder.
• Cihazdaki Sunucu sertifikasına güven seçeneği, sunucunun sertifikasını ilk bağlantıda kabul eder ve depoya güvenilir olarak kaydeder. Sertifikayı listede görebilir ve Reddet ile güveni geri alabilirsiniz. Bu seçenek, depoda reddedilmiş bir sertifikayı yeniden güvenilir yapmaz.

2.0.0'dan önce Edge Gateway'lerde yerel olarak verilen güven kararları artık geçerli değildir. Güvenlik modu Yok olan cihazlar sertifika kullanmaz, bu yüzden bu değişiklikten etkilenmez.

Cihaz profiline sunucu sertifikası sabitleyin

Bir profili yalnızca belirli bir sunucu sertifikasıyla çalışacak şekilde ayarlamak için sertifikayı depoya yükleyin ve profilde seçin.

1. Sunucunun sertifika dosyasını alın (genellikle sunucunun kendi sertifika klasöründeki .der, .cer ya da .pem dosyası). Gerekirse dosyayı .pem, .crt ya da .cer biçimine dönüştürün.
2. Yükle düğmesine tıklayın ve dosyayı seçin. Dosya ortak sertifika olarak içe aktarılır.
3. Sertifikayı seçin ve Güven düğmesine tıklayın.
4. Cihaz profilinin OPC UA bağlantı ayarlarında bu sertifikayı güvenilen sunucu sertifikası olarak seçin. Bkz. OPC UA.

Sertifikanın güvenilirliğini kaldırın

Sertifikayı seçin ve Reddet düğmesine tıklayın. Reddedilen sertifikaların durumu Devre dışı olur ve bu sertifikalar artık kullanılmaz. Reddedilen sertifikaları listelemek için Güven durumu alanını kullanın.

Sonraki adımlar

• Kurulumu güvenli hâle getirin: HTTPS, TLS ve erişim ayarlarını gözden geçirin.
• Merkez sunucuyu ve depo anahtarını yedekleyin: sertifikaların geri yüklemeden sonra da okunabilmesini sağlayın.
• Veri hedefleri: istemci ve sunucu sertifikalarını hedeflerde kullanın.