Connecter OPC UA à Docker
| Produit | Docker |
|---|---|
| Catégorie | Déploiement |
| Rôle OPC UA | Client et serveur |
Conteneuriser un client ou un serveur OPC UA fonctionne bien, avec un piège qui attrape presque tout le monde : le certificat d'instance d'application vit dans le répertoire PKI, si bien qu'un volume non persistant régénère votre identité à chaque redémarrage et périme la liste de confiance de chaque pair à chaque déploiement.
Avant de commencer
- Un volume persistant pour le répertoire PKI. C'est toute la leçon de cette page.
- Une décision sur le nom d'hôte et l'ApplicationUri du conteneur, car aucun des deux ne se résout comme sur un portable.
- Une accessibilité réseau du conteneur vers le port 4840 des serveurs, y compris tout pare-feu local sur l'hôte du conteneur lui-même.
Mise en place
- Montez le répertoire PKI sur un volume nomméQuel que soit le nom que lui donne votre stack - ./pki, les chemins du magasin de configuration de sécurité, ou le dossier racine du gestionnaire de certificats - montez-le. L'identité du conteneur est là-dedans et elle doit survivre à un redémarrage.
- Définissez l'ApplicationUri explicitementNe le laissez pas prendre par défaut une valeur dérivée d'un nom d'hôte de conteneur aléatoire. Fixez-le en configuration et assurez-vous que la même valeur figure comme entrée URI dans le SAN du certificat.
- Mettez dans le SAN du certificat tous les noms joignablesLe nom de service du conteneur, le nom DNS de l'hôte et toute adresse qu'un pair composera réellement. Un client qui compare l'URL qu'il a composée au SAN se moque du nom que le conteneur croit porter.
- Gérez l'heureLes conteneurs héritent de l'horloge de l'hôte. Une horloge hôte décalée provoque des échecs de validité temporelle sur des certificats parfaitement valides : NTP sur l'hôte est donc une mesure de sécurité.
- Prouvez le cas du redémarrage avant de livrerDémarrez le conteneur, établissez une session sécurisée, redémarrez le conteneur, et vérifiez que la session se rétablit sans qu'un administrateur touche à une liste de confiance. Si ce n'est pas le cas, votre volume n'est pas monté où vous le croyez.
- Exposez le bon port pour un serveurUn serveur OPC UA conteneurisé a besoin du port 4840 publié, et l'URL d'endpoint qu'il annonce doit être une URL que les clients peuvent réellement atteindre - pas son adresse interne de conteneur.
À quoi ressemble l'espace d'adressage
La conteneurisation ne change pas l'espace d'adressage. Ce qu'elle change, c'est l'identité et l'accessibilité : le certificat, l'ApplicationUri et l'URL d'endpoint annoncée. Ces trois éléments font toute la différence entre un déploiement qui marche et un déploiement déroutant.
Les pièges
- Un volume PKI non persistant est de loin la panne OPC UA conteneurisée la plus courante. Le symptôme est exaspérant : cela fonctionne, puis échoue après chaque déploiement, avec une erreur de certificat qui ressemble à un changement côté serveur.
- Un serveur conteneurisé qui annonce le nom d'hôte interne de son conteneur dans sa description d'endpoint donne aux clients une URL qu'ils ne peuvent pas résoudre. Configurez explicitement le nom d'hôte annoncé.
- Un décalage de l'horloge de l'hôte produit des échecs de validité temporelle de certificat qui ressemblent à des problèmes de contenu de certificat. Vérifiez l'horloge avant de refaire un certificat.
- Les fichiers de travail et intermédiaires à l'intérieur du conteneur ne posent pas de problème, mais tout ce que vous devez conserver - certificats, exports de nodeset, configuration - exige un volume.
- Si le conteneur redémarre fréquemment sous un orchestrateur, chaque redémarrage est une nouvelle connexion à chaque serveur. Échelonnez les démarrages, sinon vous fabriquez votre propre tempête de connexions.
En extraire les données OEE
Rien directement - c'est de la plomberie de déploiement. Cela ne compte pour le TRS que dans la mesure où un collecteur qui perd la confiance à chaque déploiement crée des trous dans vos données de disponibilité, et un trou de collecte est indiscernable d'un arrêt si vous n'enregistrez pas séparément la santé du collecteur. Publiez un signal « collecteur en ligne » à côté des données machine.
Dernière vérification le 7 septembre 2026 par rapport à OPC UA 1.05.07. OPC UA Connect est une ressource pédagogique et n'est pas affiliée à l'OPC Foundation.