ГлавнаяКарта сайтаПечатьE-mail
КонтрАвт
Увлекая к успеху
Поиск продукции КонтрАвт
Поиск по сайту
Подписка
формаКаталог по почте
Оформите подписку и получайте по почте Каталог продукции и буклеты о Новинках


Настройка DCOM

Настройка DCOM

Скачать руководство по настройке DCOM в формате MS Word (600 Кб)

Для настройки прав доступа к DCOM-приложениям в операционных системах Windows XP, Windows Server 2003 и Windows Vista используется оснастка «Службы компонентов» (Component Services) консоли управления.

Оснастку можно вызвать:

 

  • из системного меню «Пуск/Выполнить» по команде dcomcnfg (рисунок 4.15)

Запуск утилиты

Рисунок 4.15 Запуск утилиты dcomcnfg

 

  • из системного меню «Пуск/Панель управления/Администрирование/Службы компонентов» (рисунок 4.16)

Системные инструментальные средства «Службы компонентов»

Рисунок 4.16 Системные инструментальные средства «Службы компонентов»

 

  • а также через консоль управления Microsoft – mmc.exe

Внимание!!!

После запуска оснастки «Службы компонентов» производится поиск COM-приложений, которые ещё не зарегистрированы в системе на данный момент, и предлагается зарегистрировать их. Обычно, следует разрешать регистрацию, за исключением случаев, когда иное не указано в документации на программное обеспечение.

 

После запуска появляется окно «Службы компонентов» (рисунок 4.17)

Оснастка «Службы компонентов»

Рисунок 4.17 Оснастка «Службы компонентов»

Внимание!!!

После перехода к более низкому уровню безопасности следует перезапустить операционную систему, чтобы изменения вступили в силу. 

Настройка общих параметров DCOM

 Для установления связи с удаленными OPC-серверами сначала следует настроить общие параметры DCOM. Для этого: 

  1. На компьютере откройте оснастку «Службы компонентов» и выберите раздел «Корень консоли/Службы компонентов/Компьютеры» («Console Root/Component Services/Computers»)  
  2. Откройте контекстное меню элемента «Мой компьютер» («My Computer») и выберите пункт «Свойства» («Properties») – рисунок 4.18

    Рисунок 4.18 - Контекстное меню «Мой компьютер»

  3.  В открывшемся окне «Свойства: Мой компьютер» (рисунок 4.19) перейдите на закладку «Безопасность» (“COM Security”)

    Свойства компьютера, закладка «Безопасность COM»

    Рисунок 4.19 - Свойства компьютера, закладка «Безопасность COM»

  4. Нажмите на кнопку «Изменить ограничения…» на панели «Права доступа» (рисунок 4.19). В открывшемся окне «Разрешение на доступ» для группы «АНОНИМНЫЙ ВХОД» установите галочки «Разрешить» для пунктов «Локальный доступ» и «Удаленный доступ» (рисунок 4.20).

    Кнопка «Изменить ограничения…» может быть не доступна, если была изменена политика «DCOM: Ограничения компьютера на доступ в синтаксисе SDDL (Security Descriptor Definition Language)». В этом случае пропустите текущий шаг.

     Эти настройки необходимы для функционирования утилиты поиска OPC-серверов (OPCEnum.exe) и некоторых OPC-серверов, для которых «Уровень проверки подлинности» («Authentication Level») установлен «Нет» («None»).

    Окно настройки «Разрешение на доступ»

    Рисунок 4.20 - Окно настройки «Разрешение на доступ»

Внимание!!!

Этот шаг настройки необходимо выполнить как на компьютере, где установлен OPC-сервер, так и на компьютере, где установлен OPC-клиент. Остальные шаги  выполняются на компьютере сервера.

  1.  Нажмите на кнопку «Изменить ограничения…» на панели «Разрешения на запуск и активацию» (рисунок 4.19).. В открывшемся окне «Разрешение на запуск» нажмите кнопку «Добавить» и добавьте группу, «Users OPC» (описание в разделе 4.1 «Создание и настройка учетных записей Пользователей»). Для этой группы поставьте галочки «Разрешить» для всех вариантов запуска и активации (рисунок 4.21).  Кнопка «Изменить ограничения…» может быть не доступна, если была изменена политика «DCOM: Ограничения компьютера на запуск в синтаксисе SDDL» («Security Descriptor Definition Language»). В этом случае пропустите текущий шаг. Если Пользователи группы должны получить только удаленный доступ к OPC-серверу, поставьте галочки «Разрешить» только для пунктов «Удаленный запуск» и «Удаленная активация».

Рисунок 4.21 - Окно настройки «Разрешение на запуск»

  1.  Остальные общие параметры DCOM могут остаться по умолчанию. Если они были изменены, и это нарушило работу OPC-серверов, верните их в прежнее состояние. Список параметров по умолчанию приведен ниже:

 Закладка «Свойства по умолчанию» (рисунок 4.22)

Значения по умолчанию:

      Установлена галочка «Разрешить использование DCOM на этом компьютере». §         «Уровень проверки подлинности по умолчанию» – «Подключение». §         «Уровень олицетворения по умолчанию» – «Идентификация». §         Снята галочка «Повышенная безопасность для отслеживания ссылок».

Рисунок 4.22 — Свойства компьютера, закладка «Свойства по умолчанию»

 

  • Закладка «Протоколы по умолчанию» (рисунок 4.23)

Добавлены следующие протоколы DCOM:

    §         «TCP/IP c ориентацией на подключения» §         «SPX c ориентацией на подключения».

Рисунок 4.23 - Свойства компьютера, закладка «Протоколы по умолчанию»

 

  • Закладка «Параметры» (рисунок 4.24)

Значения по умолчанию:

    §         Установлена галочка «Проверять локальное хранилище при выборе раздела». §         «Время ожидания транзакции (с)»: 60.

При работе в компьютерной сети в случае возникновения обрывов, переполнения и других критических ситуациях при попытках восстановления связи DCOM-приложения используют время ожидания транзакции (Transaction timeout). Это время, в течение которого DCOM-приложение посылает запрос к источнику данных и ожидает восстановления связи. DCOM-приложение совершает до 6 таких попыток, прежде чем подаст сигнал об ошибке в сети.

По умолчанию этот интервал равен 60 секундам. Соответственно, максимальное время, за которое DCOM-приложение определит, что сеть неисправна – 60*6 = 360 секунд или 6 минут.

 

Однако это время не всегда может устроить Пользователей DCOM-приложения. Очевидно, что чем короче время ожидания транзакции, тем быстрее DCOM-приложение сможет сообщить Пользователю об ошибке в сети. Поэтому, если Пользователь DCOM-приложения хочет сократить время определения ошибки в сети, он может уменьшить время ожидания транзакции.

Рисунок 4.24 - Свойства компьютера, закладка «Параметры»

GВнимание !!!

Времени ожидания транзакции настраивается на компьютере сервера.

При изменении времени ожидания транзакции следует понимать, что это коснется ВСЕХ DCOM-приложений, работающих на этом компьютере. Поэтому, если нет сильной необходимости изменить значение по умолчанию для этого пункта, то изменять его не рекомендуется.

 

4.1.2        Настройка параметров DCOM для OPC-сервера

 

GВнимание!!!

Настройки, описанные в этом пункте, производятся на компьютере, где установлен OPC-сервер.

 

Для того чтобы настроить параметры DCOM для конкретного OPC-сервера, следует:

 

    1)      В оснастке «Службы компонентов» выберите раздел «Корень консоли/Службы компонентов/Компьютеры/Мой компьютер/Настройка DCOM» («Console Root/Component Services/Computers/My Computer/DCOM Config»)

 

    2)      Откройте контекстное меню нужного OPC-сервера (рисунок 4.25) и выберите пункт «Свойства» («Properties»)

 

Рисунок 4.25 - Выбор свойств OPC-сервера

 

    3)      В открывшемся окне «Свойства:…» перейдите на закладку «Безопасность» («Security»)

 

    4)      На панели «Разрешения на запуск и активацию» выберите «Настроить» и нажмите на кнопку «Изменить …». В открывшемся окне «Разрешение на запуск» (рисунок 4.26) нажмите кнопку «Добавить» и добавьте группу «Users OPC» (описание в разделе 4.1 «Создание и настройка учетных записей Пользователей»)

 

Рисунок 4.26 - Окно настройки «Разрешение на запуск» для OPC-сервера

Для группы «Users OPC»поставьте галочки «Разрешить» для всех пунктов. Если Пользователи группы должны получить только удаленный доступ к OPC-серверу, поставьте галочки «Разрешить» только для пунктов «Удаленный запуск» и «Удаленная активация»

 

    5)      На панели «Права доступа» (закладка «Безопасность») выберите «Настроить» и  нажмите на кнопку «Изменить …». В открывшемся окне «Разрешение на доступ» (рисунок 4.27) нажмите кнопку «Добавить» и добавьте группу «Users OPC» (описание в разделе 4.1 «Создание и настройка учетных записей Пользователей»)

 

Рисунок 4.27 - Окно настройки «Разрешение на доступ» для OPC-сервера

 

Для этой группы («Users OPC») поставьте галочки «Разрешить» для всех вариантов доступа.

Если Пользователи группы должны получить только удаленный доступ к OPC-серверу, поставьте галочку «Разрешить» только для пункта «Удаленный доступ».

 

 

    6)      Для того, чтобы указать, под какой учетной записью будет запускаться OPC-сервер, перейдите на закладку «Удостоверение» (рисунок 4.28).

Рисунок 4.28 - Свойства OPC-сервера, закладка «Удостоверение»

 

Выбор учетной записи для запуска данного приложения зависит от реализации данного OPC-сервера. Воспользуйтесь документацией к OPC-серверу, чтобы выбрать «запускающего» Пользователя.

 

Общие рекомендации по выбору Пользователя для запуска OPC-сервера приведены в таблице 4.1.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Таблица 4.1 Рекомендации по выбору Пользователя для запуска OPC-сервера

 

Параметр

Описание

«Текущий Пользователь»

(The Interactive User)

OPC-сервер будет запускаться под учетной записью вошедшего в систему интерактивного Пользователя.

Это позволит OPC-сервер взаимодействовать с Пользователем, т.е. Пользователь увидит все видимые окна, открываемые OPC-сервером (например, диалоги, сообщения об ошибках).

Однако если компьютер не используется ни одним из Пользователей, т.е. текущего Пользователя не существует, в этом случае OPC-сервер запущен не будет. К тому же, если в систему зайдет Пользователь с недостаточными правами, работоспособность приложения может оказаться под угрозой. Когда интерактивный Пользователь выходит из системы, все OPC-серверы с данной настройкой принудительно закрываются.

Этот вариант запуска недоступен, если сервер зарегистрирован как сервис.

 

Рекомендуем использовать данный тип Пользователя, если OPC-сервер выводит на экран диалоговые окна, требующие реакции Пользователя.

«Запускающий Пользователь»

(The Launching User)

OPC-сервер будет запускаться под учетной записью запускающего Пользователя (обычно удаленного).

Этому Пользователю должны быть предоставлены необходимые разрешения. Пользователь также должен обладать разрешениями, принимаемыми по умолчанию, введенными для группы Пользователей на этом компьютере. Другими словами, он должен принадлежать группе Пользователей.

OPC-сервер не сможет напрямую взаимодействовать с интерактивным Пользователем. Т.е. Пользователь НЕ увидит открываемые OPC-сервером окна.

При подключении нового OPC-клиента будет запускаться отдельная копия OPC-сервера. Это может вызвать проблемы в работе. Например, при работе нескольких экземпляров OPC-сервера с устройством через один порт.

Этот вариант запуска недоступен, если сервер зарегистрирован как сервис.

 

Рекомендуем использовать только в том случае, когда OPC-сервер требует для взаимодействия именно этот тип Пользователя (внимательно ознакомьтесь с документацией на ОРС-сервер).

 

«Указанный Пользователь»

(This user)

 

OPC-сервер будет запускаться под учетной записью, указанной в поле «Пользователь» (User), которое становится доступно после активизации данного варианта загрузки.

Требуется задать пароль. При этом имя учетной записи проверяется на правильность. Верность пароля при вводе не проверяется, о неправильности пароля вы узнаете только после того, как получите соответствующее сообщение об ошибке при попытке запустить OPC-сервер.

OPC-сервер не сможет напрямую взаимодействовать с интерактивным Пользователем. Т.е. Пользователь НЕ увидит открываемые OPC-сервером окна.

 

Рекомендуется использовать данный тип Пользователя, если запускаемый OPC-сервер должен обладать специфическими правами доступа. Например, если требуется запустить OPC-сервер с правами Администратора, а ни текущий Пользователь, ни запускающий не принадлежат к группе «Администраторы».

Системная учетная запись

(The System Account)

OPC-сервер будет запускаться под учетной записью SYSTEM. Этот тип доступен, если сервер зарегистрирован как сервис.

 

Рекомендуется использовать данный тип Пользователя, если OPC-сервер является сервисом.

 

GВнимание!!!

Если OPC-сервер запускается под учетной записью Пользователя, к которой нет доступа на компьютере клиента, то будет не доступен асинхронный опрос  OPC-сервера.

Если компьютеры в рабочей группе, и должен использоваться асинхронный опрос, то нужно создать на клиенте такую же учетную запись (описание в разделе 4.1.2 «Настройка компьютеров, находящихся в рабочей группе», шаг 3).

Если компьютеры входят в состав домена, используйте для запуска OPC-сервера учетную запись Пользователя домена или системную учетную запись.

 

    7)      После выбора Пользователя для запуска OPC-сервера необходимо проверить, есть ли у него доступ к исполняемому файлу OPC-сервера.

Например, если exe-файл OPC-сервера помещен в папку, к которой запрещен доступ учетной записи, используемой для запуска OPC-сервера, тогда при запуске ОРС-сервера клиент получит сообщение об ошибке «Отказ в доступе».

 

Чтобы проверить разрешения на доступ к исполняемому файлу OPC-сервера, выполните следующую последовательность действий:

  • Откройте контекстное меню для папки, в которой находится exe-файл OPC-сервера, и выберите пункт «Свойства» («Properties»).
  • В открывшемся окне «Свойства:…» перейдите на закладку «Безопасность» (рисунок 4.29).

Рисунок 4.29 - Свойства папки, закладка «Безопасность»

  • В списке «Группы или Пользователи» должен быть Пользователь, который используется для запуска OPC-сервера, или группа, в которую он включен.

Если Пользователь отсутствует, нажмите кнопку «Добавить» и добавьте требуемого Пользователя

  • Если для выбранного Пользователя не установлен вариант доступа «Полный доступ», поставьте галочку «Разрешить» для этого варианта
  • Нажмите кнопку «OK» для сохранения сделанных изменений.

 

 

    8)      Для сохранения изменений нажмите «OK».

Чтобы изменения были применены к OPC-серверу, его необходимо перезапустить (если он был запущен ранее).

 

GВнимание!!!

Без перезапуска OPC-сервера измененные настройки не будут применены к нему.

 

 

Если OPC-сервер не имеет интерфейса Пользователя, с помощью которого он может быть перезапущен, завершите процесс OPC-сервера. Для этого:

  • откройте Диспетчер задач Windows и перейдите на вкладку «Процессы»
  • выберите процесс настраиваемого OPC-сервера и нажмите кнопку «Завершить процесс».

 

После нового подключения OPC-клиента, OPC-сервер будет загружен уже с новыми настройками.

 

4.1.3        Настройка параметров DCOM для утилиты поиска OPC-серверов

 

GВнимание!!!

Настройки парметров DCOM для утилиты OPCEnum.exe производятся только на компьютере, где установлены удаленные OPC-серверы.

 

При доступе к данным удаленного OPC-сервера используется стандартная OPC-утилита OPCEnum.exe, которая формирует список доступных ОРС–серверов.

Для использования этой утилиты необходимо настроить параметры DCOM.

Настройка разрешений осуществляется аналогично настройке OPC-серверов, описанной выше (раздел 4.4.2). Отличие заключается в том, что в списке приложений (компонент) необходимо выбирать OpcEnum (рисунок 4.30).

Рисунок 4.30 - Выбор свойств утилиты OPCEnum

 

4.2         Ограничение прав добавленных Пользователей

 

Рекомендуем проводить ограничение прав Пользователей после завершения настройки параметров DCOM для OPC-серверов.

 

 

 

 

GВнимание!!!

После перехода к более низкому уровню безопасности следует перезапустить операционную систему, чтобы изменения вступили в силу.

 

Для ограничения прав Пользователей следует выполнить следующее:

 

    1)      Настройте права добавленного Пользователя (в нашем примере Пользователь «Mike»). В большинстве случаев они могут быть ограничены до минимума или вообще отсутствовать. Для ограничения прав можно удалить Пользователя из всех групп (кроме Пользователей OPC – «Users OPC») или добавить в группу с более низкими правами (рисунок 4.31).

 

Рисунок 4.31 - Удаление учетной записи Пользователя из группы «Пользователи»

GВнимание!!!

Для нормального функционирования некоторых OPC-серверов требуются права администратора. В этом случае, а также в некоторых других, новую учётную запись Пользователя нужно добавить в группу «Администраторы» ( Administrator s)

 

 

    2)      При необходимости запретите локальный вход Пользователя в систему. §         Для этого: откройте службу «Локальная политика безопасности» («Пуск/Панель управления/Администрирование/Локальная политика безопасности» («Local Security Settings») §         Выберите раздел «Локальные политики/Назначение прав Пользователя» и откройте политику «Отклонить локальный вход» (рисунок 4.32).

Рисунок 4.32 — Настройка политики «Отклонить локальный вход»

 

    §         Нажмите кнопку «Добавить Пользователя или группу…» и добавьте в список новую учетную запись Пользователя («Mike») или группы («Users OPC»). Для выбранных учетных записей будет запрещен локальный вход в систему.

 

 

 

 

 

 




Copyright © 2003-2016 КонтрАвт
Телефон: +7 (831) 260-13-08 (многоканальный)
Почта: sales@contravt.ru



Powered by TreeGraph (Graphit Ltd.)