C135 PCS 7 (PCS7)
6C
6 Cielo Ciencia y Tecnología
·Publicada en C135 PCS 7 (PCS7)

Migración de servidores OS y estaciones de ingeniería de SIMATIC PCS 7 a un nuevo dominio de Active Directory

Para migrar servidores OS, clientes y estaciones de ingeniería de SIMATIC PCS 7 a un nuevo dominio de Active Directory sin interrumpir la comunicación, debe ejecutar la utilidad 'SimaticRights.exe' desde los medios de instalación de PCS 7 inmediatamente después de volver a unirse al dominio. La reincorporación a un dominio genera nuevos identificadores de seguridad (SID) para todas las cuentas de usuario y de confianza de la máquina, lo que invalida los derechos de acceso DCOM locales, los inicios de sesión de las cuentas de servicio de SQL Server y los permisos de carpetas compartidas. Además, deshabilite el cifrado de Simatic Shell antes de salir del dominio, actualice las referencias del controlador de dominio de SIMATIC Logon y reasigne los permisos NTFS de la carpeta del proyecto WinCC.

Índice de contenidos

Resumen ejecutivo

Cuando las actualizaciones de la infraestructura de TI corporativa o las reestructuraciones de red requieren cambiar el dominio de Active Directory de una planta SIMATIC PCS 7, las redes de control industrial se enfrentan a graves interrupciones si los contextos de seguridad no se migran adecuadamente. Incluso si las cadenas de nombres de usuario siguen siendo idénticas en el nuevo controlador de dominio, Windows asigna SIDs completamente nuevos a todos los usuarios de dominio y cuentas de ordenador. En consecuencia, las carpetas compartidas de proyectos de WinCC, las instancias de bases de datos de SQL Server, las asignaciones de roles de SIMATIC Logon y los certificados de seguridad de Simatic Shell fallan. Esta guía proporciona un procedimiento de migración de extremo a extremo, que abarca la preparación previa a la migración, la ejecución de SimaticRights.exe, la reconfiguración de Simatic Shell y SIMATIC Logon, y la validación de la comunicación multiestación.

Mecánica arquitectónica y del sistema

SIMATIC PCS 7 depende en gran medida de la arquitectura de seguridad de Windows, DCOM y los grupos de usuarios locales:

  • Grupos de usuarios locales: Los grupos cruciales como SIMATIC HMI, SIMATIC NET, SQLServer2014WinCCOnlineStandard y SIMATIC Management Users otorgan privilegios precisos de Windows a los procesos de ingeniería y tiempo de ejecución.
  • Identificadores de seguridad (SIDs): Las listas de control de acceso (ACL) en las carpetas compartidas de red del proyecto (por ejemplo, <ProjectName>.WinCC) almacenan SIDs, no nombres de usuario en texto plano. Moverse a un nuevo dominio rompe los permisos de compartición existentes porque los SIDs del dominio anterior se convierten en SIDs huérfanos sin resolver.
  • Cifrado de Simatic Shell: En PCS 7 V9.0 y superior, Simatic Shell admite la comunicación multidifusión cifrada utilizando certificados locales y claves precompartidas. Si la confianza del dominio cambia, la validación del certificado en los nodos del bus de terminal fallará a menos que se deshabilite el cifrado o se vuelvan a generar los certificados.
  • SimaticRights.exe: Una herramienta especializada provista en el DVD 2 de PCS 7 (en Support/SimaticRights) que restablece y vuelve a aplicar las políticas de seguridad DCOM locales obligatorias, los privilegios de los grupos de usuarios y las reglas de excepción del cortafuegos.

Procedimiento paso a paso de ingeniería e implementación

Paso 1: Preparación del sistema previa a la migración

  1. Cierre todos los proyectos activos de PCS 7 y salga de WinCC Runtime en todos los servidores OS y clientes OS.
  2. Abra el Explorador de Windows en cada estación, navegue hasta Simatic Shell, haga clic con el botón derecho, seleccione 'Settings', y establezca Encrypted Communication en 'No'. Aplique y reinicie si se le solicita.
  3. Si el servidor OS WinCC se ejecuta en ServiceMode bajo una cuenta de usuario de dominio, cambie temporalmente la cuenta de inicio del servicio a 'LocalSystem' o a una cuenta administrativa local.

Paso 2: Abandonar el dominio anterior y unirse al nuevo dominio de Active Directory

  1. En las Propiedades del Sistema de Windows, cambie la estación del dominio existente a un grupo de trabajo (Workgroup) local temporal, reiniciando según sea necesario.
  2. Una la estación al nuevo dominio de Active Directory utilizando una credencial de Administrador de Dominio.
  3. Asegúrese de que el sufijo DNS primario y el nombre de equipo NetBIOS de la estación se alineen con la nueva jerarquía de dominio.

Paso 3: Ejecutar la utilidad SimaticRights.exe

  1. Monte los medios de instalación de PCS 7 o navegue al directorio del DVD extraído: Support/SimaticRights/.
  2. Haga clic con el botón derecho en SimaticRights.exe y seleccione 'Run as administrator'.
  3. La herramienta audita las plantillas de seguridad local, asigna los privilegios operativos necesarios a SIMATIC HMI y SIMATIC NET, y actualiza los límites de seguridad DCOM locales para el contexto del dominio recién unido.
  4. Reinicie el sistema operativo.

Paso 4: Reasignar permisos de compartición NTFS y cuentas de servicio

  1. Navegue hasta el directorio del proyecto WinCC en cada servidor OS. Haga clic con el botón derecho en la carpeta del proyecto, abra 'Properties' -> 'Sharing' y 'Security'.
  2. Elimine las entradas de SID huérfanas (indicadas por Account Unknown S-1-5-...).
  3. Conceda Control Total al grupo local SIMATIC HMI y asegúrese de que los usuarios de dominio que requieran acceso de ingeniería pertenezcan a SIMATIC HMI en la máquina local.
  4. En WinCC Explorer, abra Project Properties -> ServiceMode, y asigne la nueva cuenta de usuario de servicio de dominio y su contraseña.

Paso 5: Actualizar SIMATIC Logon y Simatic Shell

  1. Abra SIMATIC Logon Admin Tool en la estación de ingeniería y en los servidores OS. Actualice el nombre del controlador de dominio de destino al nuevo dominio de Active Directory.
  2. Abra Simatic Shell en cada estación, confirme que todos los servidores OS y clientes asociados aparecen en el árbol de red y vuelva a habilitar el cifrado de la comunicación si las directrices de seguridad de la planta lo exigen.

Verificación

Verifique el éxito de la migración del dominio mediante los siguientes pasos:
1. Abra Simatic Shell en la estación de ingeniería: verifique que los servidores OS remotos aparezcan con iconos de ordenador en azul/verde y que las carpetas compartidas del proyecto sean explorables.
2. Realice una compilación OS de prueba y una descarga delta (Delta Download) desde la ES al servidor OS a través del bus de terminal.
3. Inicie WinCC Runtime en el servidor OS 1 y el servidor OS 2; verifique que @RM_SERVER_STATE alcance 2 (Master) y 3 (Standby) respectivamente.
4. Inicie sesión en un cliente OS utilizando una nueva cuenta de dominio a través de SIMATIC Logon y verifique los permisos de control de procesos.

Limitaciones y precauciones operativas

Precauciones operativas:
- No cambie los nombres de host de las máquinas y el nombre de dominio simultáneamente; ejecute primero los ajustes de nombre de host, reinicie y verifique el funcionamiento de PCS 7 antes de cambiar el dominio.
- Nunca cambie los controladores de dominio mientras WinCC Runtime esté activo en producción.
- Verifique siempre que las cuentas locales de Windows (por ejemplo, el administrador local) sigan funcionando en todos los nodos antes de abandonar el dominio antiguo para evitar bloqueos en caso de problemas de resolución de confianza de dominio.

Preguntas frecuentes del ingeniero

P: ¿Por qué falló el inicio de WinCC Runtime después de unirse al nuevo dominio?

R: WinCC Runtime depende de los servicios de SQL Server y de los permisos DCOM vinculados a los grupos locales. La ejecución de SimaticRights.exe restaura estos privilegios después de los cambios de SID del dominio.

P: ¿Dónde puedo encontrar SimaticRights.exe?

R: Se encuentra en el DVD 2 de SIMATIC PCS 7 (o en los medios de instalación de configuración) bajo la ruta Support/SimaticRights/SimaticRights.exe.

P: ¿Pueden las estaciones PCS 7 operar en múltiples dominios no confiables?

R: No. Todas las estaciones PCS 7 (ES, servidores OS, clientes OS, estación de mantenimiento) deben pertenecer al mismo dominio de Active Directory o tener establecidas confianzas transitivas bidireccionales.

P: ¿Cambiar el dominio afecta a las direcciones IP de los controladores AS o a la comunicación del bus de planta?

R: No. El bus de planta de automatización y las conexiones S7 de la CPU operan independientemente de los dominios de Active Directory de Windows.

P: ¿Por qué los grupos de usuarios de SIMATIC Logon no muestran usuarios de dominio?

R: La configuración de SIMATIC Logon debe actualizarse en la herramienta de administración (Admin Tool) para consultar el nuevo servicio LDAP/Active Directory del controlador de dominio.

Referencias técnicas

Artículos relacionados

Etiquetas relacionadas

Active Directory, SimaticRights.exe, Simatic Shell, SIMATIC Logon, Domain Migration

20 respuestas