OPC UA koppelen aan Docker

Voordat u begint

• Een persistent volume voor de PKI-map. Dat is de hele les van deze pagina.
• Een beslissing over de hostnaam en ApplicationUri van de container, want geen van beide resolvet zoals op een laptop.
• Netwerkbereikbaarheid vanaf de container naar poort 4840 op de servers, inclusief een eventuele hostfirewall op de containerhost zelf.

Het opzetten

1. Mount de PKI-directory op een named volumeHoe uw stack die ook noemt - ./pki, de paden van de security configuration store of de hoofdmap van de certificate manager - mount hem. De identiteit van de container zit daarin en moet een herstart overleven.
2. Stel de ApplicationUri expliciet inLaat hem niet standaard iets worden dat is afgeleid van een willekeurige containerhostnaam. Stel hem in de configuratie in en zorg dat dezelfde waarde als URI-vermelding in de SAN van het certificaat staat.
3. Zet elke bereikbare naam in de certificaat-SANDe servicenaam van de container, de DNS-naam van de host en elk adres dat een peer daadwerkelijk zal aanroepen. Een client die de aangeroepen URL vergelijkt met de SAN, kan het niet schelen hoe de container denkt te heten.
4. Ga zorgvuldig om met tijdContainers erven de hostklok. Een scheve hostklok levert certificaat-tijdfouten op bij volkomen geldige certificaten, dus NTP op de host is een beveiligingsmaatregel.
5. Bewijs het herstartgeval voordat u oplevertStart de container, breng een beveiligde sessie tot stand, herstart de container en bevestig dat de sessie zich opnieuw opbouwt zonder dat een beheerder een trust list hoeft aan te raken. Gebeurt dat niet, dan is uw volume niet gemount waar u denkt.
6. Stel de juiste poort open voor een serverEen OPC UA-server in een container heeft 4840 gepubliceerd nodig, en de endpoint-URL die hij adverteert moet er een zijn die clients daadwerkelijk kunnen bereiken - niet zijn interne containeradres.

Hoe de adresruimte eruitziet

Containerisatie verandert de adresruimte niet. Wat het wel verandert, is identiteit en bereikbaarheid: het certificaat, de ApplicationUri en de geadverteerde endpoint-URL. Die drie vormen het hele verschil tussen een werkende deployment en een verwarrende.

De valkuilen

• Een niet-persistent PKI-volume is verreweg de meest voorkomende fout bij OPC UA in containers. Het symptoom is om gek van te worden: het werkt, en faalt daarna na elke deploy, met een certificaatfout die op een wijziging aan serverzijde lijkt.
• Een server in een container die in zijn endpoint description zijn interne containerhostnaam adverteert, geeft clients een URL die ze niet kunnen resolven. Configureer de geadverteerde hostnaam expliciet.
• Afwijking van de hostklok levert certificaat-tijdfouten op die eruitzien als problemen met de certificaatinhoud. Controleer de klok voordat u een certificaat opnieuw opbouwt.
• Tijdelijke en tussenbestanden binnen de container zijn prima, maar alles wat u wilt bewaren - certificaten, nodeset-exports, configuratie - heeft een volume nodig.
• Als de container onder een orchestrator vaak herstart, is elke herstart een nieuwe verbinding met elke server. Spreid het opstarten, anders bouwt u uw eigen connect storm.

OEE-data eruit halen

Niets rechtstreeks - dit is deploymentloodgieterswerk. Het is alleen van belang voor OEE in die zin dat een collector die bij elke deploy zijn vertrouwen verliest gaten in uw beschikbaarheidsdata produceert, en een gat in de verzameling is niet te onderscheiden van stilstand tenzij u de gezondheid van de collector apart vastlegt. Publiceer een collector-online-signaal naast de machinedata.

Laatst geverifieerd op 7 september 2026 tegen OPC UA 1.05.07. OPC UA Connect is een educatieve bron en is niet gelieerd aan de OPC Foundation.