Paramétrage
Le nom d'application, le port d'écoute, le nom de réseau et l'authentification des clients du serveur OPC UA intégré, et l'Appliquer qui les conserve et les met en vigueur.
Paramétrage est la deuxième carte du volet du serveur OPC UA dans le Connector. Ses champs sont un brouillon : ils sont modifiables tant que le serveur n'écoute pas (arrêté, ou en marche et refusé à son dernier démarrage), et rien ne change tant qu'Appliquer n'a pas conservé le brouillon. Un serveur arrêté le garde pour la prochaine fois qu'il est mis en marche (« Paramétrage du serveur OPC UA enregistré. Le serveur démarre dessus la prochaine fois qu'il est activé. »); serveur en marche, le bouton devient Appliquer et redémarrer et remet le serveur en marche dessus. La carte le dit sous le bouton : « Désactivez le serveur pour modifier son endpoint. Les changements s'appliquent à son prochain démarrage. » Voir Connector lit la carte; Configurer Connector la modifie, et arrêter le serveur, c'est le Désactiver de la barre de commandes.
Les champs
| Champ | Ce que c'est | Valeurs / défaut | Effet |
|---|---|---|---|
| Nom de l'application | Le nom que le serveur annonce aux clients, et le sujet de son propre certificat d'application. | N'importe quel texte; défaut GanterLab OPC UA Server. Un nom vide est conservé comme le défaut; les espaces autour sont retirés. | Les clients le voient comme le nom d'application du serveur. Il ne fait pas partie de l'adresse de l'endpoint. Changer le nom remplace le certificat du serveur, comme changer le nom réseau : les clients doivent faire confiance au nouveau avant de se reconnecter, et une station qui lit ce serveur comme équipement cesse de le lire et affiche « Certificat modifié : <name> » sur son Accès des équipements jusqu'à ce que le nouveau y soit approuvé. |
| Port d'écoute | Le port TCP sur lequel le serveur écoute. | 1 à 65535; défaut 4840. Un texte qui n'est pas un nombre est ignoré pendant la frappe; un nombre hors de la plage, quel que soit son nombre de chiffres, est refusé sous le champ avec « Le port d'écoute doit être compris entre 1 et 65535. » et le champ revient au port en vigueur. Le port d'un autre service de cette station, ou un port qu'un autre programme retient, est refusé quand vous appuyez sur Appliquer (voir plus bas). | Change les deux adresses sous Adresses de connexion, sur Accès des clients, et y demande une nouvelle autorisation de pare-feu, puisque la règle Windows est liée au port. |
| Nom de réseau | Le nom que porte l'adresse de l'endpoint, pour qu'un client joigne la station sous un nom qui mène jusqu'à elle : un nom DNS par lequel les clients se connectent, ou l'adresse d'un ordinateur dont le réseau ne résout pas le nom. | Vide par défaut, et vide veut dire le nom de cet ordinateur. Autrement un nom d'hôte : lettres, chiffres, traits d'union, traits de soulignement et points, ou une adresse, sans opc.tcp:// devant, sans port et sans chemin. Le champ valide quand il perd le focus ou avec Entrée; tout le reste est refusé sous le champ, en disant que ce n'est pas un nom d'hôte, et le champ revient au nom en vigueur. | Dès le démarrage suivant, l'adresse réseau sous Adresses de connexion, sur Accès des clients, porte ce nom, et le certificat du serveur en répond à côté de localhost. Changer le nom remplace ce certificat : les clients doivent faire confiance au nouveau avant de se reconnecter. |
| Authentification des clients | Quelles sessions le serveur accepte une fois qu'un certificat est de confiance. | Anonyme (défaut) : accepte les sessions sans identifiants et rejette les sessions par nom d'utilisateur. Nom d'utilisateur et mot de passe : n'accepte que la paire configurée et rejette les sessions anonymes. | Appliquée au démarrage suivant; le serveur annonce toujours les deux politiques de jeton et impose le choix quand une session s'active. Pour refuser toute session, arrêtez le serveur. |
| Nom d'utilisateur | Le seul nom d'utilisateur accepté. | 1 à 64 caractères, espaces retirés. Modifiable seulement sous Nom d'utilisateur et mot de passe. | Avec le mot de passe, le seul identifiant qui ouvre une session. |
| Mot de passe | Le mot de passe à accepter. Le champ est en écriture seule : il s'ouvre vide quel que soit ce qui est conservé, et son libellé dit dans quel état il est, Mot de passe (enregistré) ou Mot de passe (aucun enregistré). La bascule Afficher le mot de passe ne révèle que ce que vous tapez ici. | 8 à 128 caractères, non vide. Le laisser vide conserve le mot de passe enregistré, ce que dit la ligne sous le champ dès qu'il y en a un : « Laissez ce champ vide pour conserver le mot de passe enregistré. » Modifiable seulement sous Nom d'utilisateur et mot de passe; la règle de longueur est écrite elle aussi sous le champ : « Nom d'utilisateur : 1 à 64 caractères. Mot de passe : 8 à 128 caractères. » | Conservé chiffré et lié à l'utilisateur et à la machine Windows (voir plus bas). |
Les boutons radio et les trois champs de texte sont grisés pendant que le serveur écoute (« Désactivez le serveur OPC UA pour changer son endpoint. »), pendant qu'une autre commande du serveur s'exécute, et pendant qu'une unité est en cours. Le brouillon est amorcé depuis le paramétrage conservé à l'ouverture du volet, et réamorcé, en abandonnant les modifications non enregistrées, quand le paramétrage change ailleurs, quand une unité prend la station, et quand le runtime s'arrête. Le mot de passe fait exception : il est amorcé vide à chaque fois, parce que celui qui est conservé n'est jamais remis au navigateur.
Appliquer
| Commande | Ce qu'elle fait | Grisée quand (situation) | Non dessinée quand (rôle) |
|---|---|---|---|
| Appliquer / Appliquer et redémarrer | Valide le brouillon et le conserve comme une seule opération d'ingénierie. Serveur arrêté, le bouton s'appelle Appliquer : « Enregistrement du paramétrage du serveur OPC UA… » puis « Paramétrage du serveur OPC UA enregistré. Le serveur démarre dessus la prochaine fois qu'il est activé. » Serveur en marche, il s'appelle Appliquer et redémarrer et redémarre le serveur sur les nouvelles valeurs : « Redémarrage du serveur OPC UA avec le nouveau paramétrage… » puis « Paramétrage du serveur OPC UA appliqué. Écoute sur <endpoint>. » Un nouveau nom d'application ou un nouveau nom de réseau change le certificat propre de la station, sous lequel le pilote OPC UA lit aussi les équipements : il redémarre donc tout le Connector, dont les équipements lisent de nouveau un instant plus tard, que le serveur soit en marche ou arrêté; tout autre changement ne touche que le serveur, et le Connector lit tout du long. |
Pendant que le serveur écoute, pendant qu'une autre commande du serveur s'exécute, pendant qu'une unité est en cours, et tant que le paramétrage conservé n'a pas pu être lu. | Pour un rôle sans Configurer Connector. |
La validation se fait avant tout enregistrement, dans cet ordre : le port (« Le port d'écoute doit être compris entre 1 et 65535. »); un port autre que celui en vigueur est ensuite refusé quand c'est le port du serveur web, réglé sur Accès à distance (« Le port N est déjà celui du serveur web. Choisissez un autre port, ou déplacez d'abord le serveur web. »), le port réglé pour l'accès agent sur la page Accès agent, que l'accès agent soit activé ou non (« Le port N est déjà celui de l'accès agent. Choisissez un autre port, ou déplacez d'abord l'accès agent. »), le port du serveur Modbus sur la page Connector, en marche ou arrêté (« Le port N est déjà celui du serveur Modbus. Choisissez un autre port, ou déplacez d'abord le serveur Modbus. »), le port du broker MQTT sur la page Connector, en marche ou arrêté (« Le port N est déjà celui du broker MQTT. Choisissez un autre port, ou déplacez d'abord le broker MQTT. »), ou un port qu'autre chose sur cette machine retient déjà (« Le port N est occupé sur cette machine. Fermez ce qui le retient, ou choisissez un autre port. »), chacun dit sous le champ Port d'écoute, comme le refus hors de la plage, le champ revenant au port en vigueur; puis le nom de réseau, dit sous le champ Nom de réseau, le champ revenant au nom en vigueur; puis, sous Nom d'utilisateur et mot de passe, le nom d'utilisateur (« Le nom d'utilisateur doit compter de 1 à 64 caractères. »), un champ vide sans mot de passe enregistré à conserver (« Aucun mot de passe n'est encore enregistré, saisissez-en un avant d'appliquer. »), la longueur du mot de passe (« Le mot de passe doit compter de 8 à 128 caractères. ») et un mot de passe vide (« Le mot de passe ne doit pas être vide. »). Un brouillon refusé ne conserve rien. Un redémarrage qui laisse le serveur arrêté, typiquement parce qu'un autre programme retient le port en vigueur, qu'Appliquer et redémarrer ne vérifie pas de nouveau, est rapporté par « Le serveur OPC UA n'a pas pu démarrer. Il n'arrive peut-être pas à ouvrir le port N. Consultez les journaux. »; le paramétrage a été enregistré, alors corrigez la cause et appuyez sur Redémarrer dans la barre de commandes. Un démarrage qui échoue sur une erreur au lieu de revenir arrêté est rapporté par « Erreur du serveur OPC UA : … ». Quoi qu'il arrive, les champs relisent ensuite les valeurs conservées.
Quand le paramétrage conservé n'a pas pu être lu
Si la base de configuration n'a pas pu rendre la ligne du serveur au démarrage, la carte s'ouvre sur l'avis « Le paramétrage enregistré du serveur n'a pas pu être lu. Les valeurs ci-dessous sont celles par défaut de ce démarrage, et l'enregistrement est désactivé pour qu'elles n'écrasent pas le paramétrage conservé. Consultez le journal technique et redémarrez l'application. » Le serveur fonctionne sur les valeurs par défaut pour ce démarrage, Appliquer est grisé, et un appui reçoit la même phrase dans la barre d'état.
Quand le serveur ne peut pas ouvrir son port au démarrage
Quand la station démarre et que le serveur ne peut pas ouvrir son port d'écoute, parce qu'un autre programme le tient déjà (sur un ordinateur industriel, le 4840 est souvent pris) ou parce que Windows le refuse (un port dans une plage que Hyper-V, WSL ou Docker réservent), seul le serveur reste arrêté : le Connector lit les équipements, et Logic et les enregistrements continuent. Une carte dit pourquoi : « Le serveur n'a pas pu démarrer », puis « Le port 4840 est déjà utilisé par une autre application sur cet ordinateur, donc le serveur OPC UA est resté arrêté. Choisissez un autre port d'écoute, puis démarrez le serveur à nouveau. » La carte propose deux boutons.
| Commande | Ce qu'elle fait | Grisée quand (situation) | Non dessinée quand (rôle) |
|---|---|---|---|
| Utiliser le port N | Conserve N comme port d'écoute et démarre le serveur dessus, comme une seule opération d'ingénierie. N est le premier port au-dessus du port refusé que le champ Port d'écoute accepterait : libre sur cette machine en ce moment, et qui n'est ni le port du serveur web, ni celui de l'accès agent, ni celui du serveur Modbus. La carte dit ensuite où le serveur écoute, puisque c'est à ce port que les clients OPC UA se connectent désormais : « Le serveur OPC UA écoute maintenant sur le port 4841. Les clients OPC UA se connectent à <endpoint>. » Si N était pris lui aussi au moment où le serveur démarre, la même carte revient avec le port suivant. |
Pendant qu'une unité est en cours, pendant que le runtime est arrêté, et tant que le paramétrage conservé n'a pas pu être lu. | Pour un rôle sans Configurer Connector. |
| Ouvrir Connector | Ouvre le Connector sur la ligne du serveur OPC UA, dont la carte Paramétrage règle le port d'écoute. | Jamais. | Pour un rôle sans Voir Connector. |
Le port ne change que lorsque quelqu'un appuie sur « Utiliser le port 4841 » ou son équivalent : le serveur ne passe jamais de lui-même à un autre port. Un échec qui ne tient pas au port laisse Ouvrir Connector seul sur la carte, sous la raison donnée par le démarrage. Quand la station démarre cachée dans la zone de notification, une notification Windows reprend le titre et la raison de la carte; elle n'a pas de boutons, et la carte attend dans la fenêtre.
Le mot de passe et où il vit
Le mot de passe est conservé sous forme chiffrée DPAPI par utilisateur, comme chaque secret d'équipement. Une sauvegarde de configuration ouverte sur une autre machine ou un autre compte Windows arrive sans lui : le serveur démarre alors avec Nom d'utilisateur et mot de passe activé et aucun mot de passe à vérifier, refuse toute ouverture de session, et journalise pourquoi (« L'authentification par nom d'utilisateur et mot de passe est activée, mais aucun mot de passe du serveur OPC UA ne peut être lu sur ce compte Windows … Saisissez-le de nouveau dans le Paramétrage du serveur OPC UA, dans le Connector. »). Saisissez-le de nouveau ici. Le mot de passe conservé ne fait jamais le chemin inverse : le champ s'ouvre vide et seul son libellé dit s'il y en a un, si bien que la page reçue par un navigateur distant ne porte aucun identifiant. Sur une connexion distante en HTTP simple, le nom d'utilisateur et le mot de passe tapés sur cette page traversent le réseau en clair; voir Accès à distance.
Ce que cette section ne fait pas
La confiance accordée au certificat est une vérification distincte, décidée sur Accès des clients : une application de confiance doit tout de même ouvrir sa session de la façon choisie ici, et un nom d'utilisateur n'ouvre la session de personne dont le certificat n'a pas obtenu la confiance. Il y a un seul nom d'utilisateur et un seul mot de passe, pas une liste, et aucun droit par client; le chemin d'adresse /UA/GanterLab et les politiques de sécurité ne sont pas configurables; et le Nom de réseau tient un nom, pas une liste, si bien que l'endpoint annonce ce nom, avec localhost à côté, et rien d'autre. L'espace d'adressage Logic montre les points du serveur en lecture seule, et son bouton « Ouvrir Connector » aboutit sur la ligne du serveur.