Gestión de cuentas de usuario de Windows y complejidad de contraseñas en entornos PCS 7 virtualizados

En entornos SIMATIC PCS 7 virtualizados que operan bajo VMware vSphere o Microsoft Hyper-V, modificar las cuentas de usuario de Windows o aplicar políticas estrictas de complejidad de contraseñas de TI requiere sincronizar las credenciales entre el host de virtualización, los sistemas operativos invitados y los servicios SIMATIC. Cambiar las credenciales sin actualizar los inicios de sesión de los servicios interrumpe la comunicación interna entre procesos de PCS 7, las instancias de SQL Server y el Automation License Manager, lo que requiere una administración coordinada de las cuentas.

Índice de contenidos

Arquitectura de la autenticación de usuarios en la infraestructura PCS 7 virtualizada

En las instalaciones modernas de automatización de procesos virtualizadas, las Estaciones de ingeniería (ES), los Servidores OS redundantes y los nodos de SIMATIC BATCH se ejecutan como máquinas virtuales (VM) en hipervisores dedicados (como VMware vSphere ESXi):
* Gestión del hipervisor: Gobernada por las credenciales del host de VMware vCenter o ESXi.
* SIMATIC Management Console (SMMC): Gestiona centralmente las actualizaciones de software, los inventarios de licencias y los diagnósticos de hardware en todas las VM.
* Capa de dominio/grupo de trabajo de Windows: Las cuentas de usuario residen en un controlador de dominio de Active Directory centralizado o en cuentas locales de Windows sincronizadas en cada VM.
* SIMATIC Logon: Se conecta con las bases de datos de usuarios de Windows para aplicar firmas electrónicas, cumplimiento de auditoría FDA 21 CFR Part 11 y privilegios de operador basados en roles.

Impacto de la complejidad de contraseñas de TI y las modificaciones de cuentas

Las políticas de ciberseguridad corporativa de TI exigen con frecuencia rotaciones periódicas de contraseñas y reglas de caracteres complejos. En un entorno de DCS industrial, aplicar estas políticas sin planificación introduce riesgos operativos sustanciales:
* Bloqueos de cuentas de servicio: Los servicios en segundo plano principales de PCS 7 (por ejemplo, SQL Server, sincronización de redundancia de WinCC, Automation License Manager) que se ejecutan bajo cuentas de servicio específicas de Windows fallarán al iniciarse si las contraseñas caducan.
* Agotamiento de la comunicación del bus de terminales: Los Clientes OS de WinCC se autentican frente a los Servidores OS utilizando tokens de seguridad de Windows. Las discrepancias en las contraseñas hacen que las caras de visualización (faceplates) de los clientes se congelen o muestren banners de desconexión.
* Pérdida de acceso a SIMATIC Management Console: Los servicios del agente de SMMC en las VM remotas no se pueden autenticar si las credenciales administrativas cambian sin actualizar el perfil de conexión de la consola.

Servicios SIMATIC críticos dependientes de las cuentas de usuario de Windows

Al planificar modificaciones de cuentas, los ingenieros deben auditar las dependencias en tres niveles de software críticos:
1. Microsoft SQL Server (Instancia WINCC): El servicio del motor de SQL Server requiere privilegios de cuenta específicos. En PCS 7 moderno, se inicia como una cuenta de servicio virtual dedicada (NT Service\MSSQL$WINCC) o cuenta de sistema local, pero depende del grupo de seguridad local de Windows SIMATIC HMI.
2. Automation License Manager (ALM): El servicio ALM (almsrvx.exe) intercambia tokens de licencia a través de la red; modificar las cuentas del sistema requiere verificar los derechos de comunicación de ALM.
3. SIMATIC BATCH Launch Coordinator: En la producción por lotes (batch), el coordinador de lanzamiento requiere derechos de usuario autenticados en todos los nodos participantes del servidor y clientes batch.

Procedimiento paso a paso para actualizar credenciales y volver a aplicar los derechos de seguridad

Para ejecutar de forma segura las actualizaciones de credenciales en una planta PCS 7 virtualizada:
1. Planificar la interrupción por mantenimiento: Programe las rotaciones de credenciales durante una parada de unidad planificada o una ventana de mantenimiento.
2. Actualizar las contraseñas de las cuentas de dominio / locales:
* Modifique la contraseña en Usuarios y equipos de Active Directory (o Administración equipos de Windows en VM independientes).
* Asegúrese de que las cuentas de usuario sigan siendo miembros explícitos de: SIMATIC HMI, Siemens TIA Engineer, SIMATIC BATCH y el grupo local Administrators.
3. Actualizar los inicios de sesión de los servicios de Windows:
* Abra los Servicios de Windows (services.msc).
* Para cualquier servicio de Siemens o SQL configurado con un inicio de sesión de usuario específico, actualice la contraseña almacenada en la pestaña Iniciar sesión.
4. Ejecutar SIMATIC Security Controller:
* En cada máquina virtual, inicie SIMATIC Security Controller como Administrador.
* Haga clic en Repeat Settings para alinear nuevamente los permisos de acceso DCOM, las listas de control de acceso (ACL) de carpetas y las reglas de firewall con los tokens de usuario actualizados.
5. Reiniciar las máquinas virtuales secuencialmente:
* Reinicie los servidores OS redundantes de uno en uno, verificando la sincronización de archivos de histórico antes de reiniciar el socio.

Verificación

Inicie sesión en la Estación de ingeniería utilizando las credenciales actualizadas: confirme que SIMATIC Manager se inicia sin advertencias de permisos administrativos.
En WinCC Explorer, verifique que el proyecto OS se abra correctamente y se conecte a la instancia local de SQL Server.
En las VM de los Clientes OS, verifique que las pantallas de proceso de ejecución se poblen con las variables dinámicas del controlador.
Abra SIMATIC Management Console en el PC de administración: ejecute una consulta de estado de salud (health query) y confirme que todos los agentes de las VM remotas responden con estado verde.

Limitaciones y precauciones operativas

Nunca configure políticas de caducidad automática de contraseñas en cuentas de servicio dedicadas; establezca las contraseñas de las cuentas de servicio en "La contraseña nunca caduca".
Evite el uso de caracteres especiales que entren en conflicto con los analizadores de línea de comandos (por ejemplo, ", ', &, %, ^) en las contraseñas de los servicios.
Realice siempre una instantánea (snapshot) de las máquinas virtuales en VMware vCenter antes de ejecutar actualizaciones importantes de credenciales en todo el dominio.

Preguntas frecuentes del ingeniero (Engineer FAQ)

¿Qué grupo de seguridad de Windows es obligatorio para todos los operadores y servicios de WinCC?
El grupo de seguridad local de Windows SIMATIC HMI.
¿Pueden las políticas de caducidad de contraseñas de TI hacer que el Runtime de WinCC se congele?
Sí, si las cuentas de servicio o las cuentas de comunicación interna caducan, las consultas a la base de datos y los apretones de manos (handshakes) del bus de terminales fallan.
¿Qué utilidad restaura los permisos predeterminados de Siemens DCOM y de carpetas después de cambiar las cuentas?
La aplicación SIMATIC Security Controller.
¿Cómo gestiona SIMATIC Logon los cambios en las cuentas de dominio de Windows?
SIMATIC Logon se autentica frente a Active Directory; los cambios en las credenciales del dominio se aplican inmediatamente a los inicios de sesión de los operadores.
¿Cambiar la contraseña de usuario de Windows requiere compilar nuevamente el proyecto PCS 7?
No, la autenticación de usuarios es gestionada por el sistema operativo y SIMATIC Logon; no se requiere la compilación de AS o de OS.
¿Qué sucede si el servicio SQL Server (WINCC) no puede iniciar sesión?
WinCC Explorer no podrá abrir proyectos, generando errores que indican "No se puede conectar a SQL Server".
¿Cuál es la práctica recomendada para las contraseñas de las cuentas de servicio en PCS 7?
Configure cuentas de servicio dedicadas con contraseñas seguras establecidas en "La contraseña nunca caduca" y derechos de inicio de sesión interactivo restringidos.
¿Cómo se autentican mutuamente los servidores OS redundantes?
Mediante cuentas locales de Windows sincronizadas con nombres de usuario y contraseñas idénticos, o a través de un dominio de Active Directory unificado.
¿Pueden las VM de PCS 7 virtualizadas ser miembros de un dominio corporativo de Active Directory?
Sí, pero Siemens recomienda colocar las VM de automatización en un dominio de automatización dedicado o en una Unidad Organizativa (OU) con políticas de grupo adaptadas.
¿Dónde se configuran las credenciales del agente de SIMATIC Management Console?
En SIMATIC Management Console en Opciones -> Configuración -> Comunicación de agentes (Options -> Settings -> Agent Communication).

Referencias técnicas

SIMATIC PCS 7 Virtualization - Configuration Guide (VMware vSphere)
SIMATIC PCS 7 PC Configuration and Installation Manual
Siemens Industry Online Support Entry: Windows User Account Management in PCS 7 (Entry ID 299593)
SIMATIC Security Controller User Manual

Etiquetas relacionadas

PCS 7, Virtualization, VMware, User Accounts, Password Complexity, SIMATIC Logon, SIMATIC HMI, Security Controller, SMMC, Active Directory