1. 课程导入与PI System安全全景
PI System 是工业领域广泛使用的实时数据基础设施，它把 DCS、PLC、SCADA、实验室系统、手工录入终端等数据源汇聚为统一的时序数据资产，再通过 AF（Asset Framework）建模、PI Vision 可视化、PI DataLink 报表以及 PI Web API 对外服务。正因为 PI System 处在“生产控制层”与“经营管理层”的交界处，它既是企业数据价值释放的枢纽，也是权限与审计风险最集中的位置。本课程围绕“权限安全”与“审计体系”两条主线展开，目标是让学员既能理解 PI System 的安全模型，也能落地一套可审计、可追溯、可复核的权限治理机制。
一、PI System 架构回顾与安全边界
从安全视角看，PI System 可以划分为四个层次：数据采集层、数据存储与计算层、应用与访问层、身份与管理层。数据采集层包括 PI Interface、PI Connector、PI Adapter 等组件，它们以只读方式从源系统取数；数据存储与计算层是 PI Data Archive 与 PI AF Server，承载原始时序数据、资产模型与计算分析；应用与访问层包括 PI Vision、PI DataLink、PI Web API、PI SQL 等消费入口；身份与管理层则涉及 Windows AD、PI Mapping、PI Identity、PI Group 以及审计日志存储。
安全边界的关键在于：数据采集层通常不应被普通业务用户直接访问，而应用与访问层才是权限控制的主战场。很多企业的 PI 安全事件并非来自外部攻击，而是内部账号权限过大、共享账号泛滥、离职账号未回收、AF 元素级权限缺失等问题。因此，本课程的第一条原则是：先明确边界，再谈授权。
二、权限安全与审计体系的核心目标
权限安全的核心目标可以概括为四个词：最小权限、职责分离、可追溯、可复核。最小权限意味着每个账号只拥有完成其工作所必需的最低权限；职责分离要求系统管理员、安全管理员、审计员三者不能由同一人兼任；可追溯要求所有关键操作都有日志记录；可复核要求权限配置能够被定期审查并纠正偏差。
审计体系则要回答三个问题：谁在什么时间、对什么对象、做了什么操作、结果如何。在 PI System 中，审计数据来源包括 Windows 安全日志、PI Data Archive 的 PI Audit Trail、PI AF 的审计记录、PI Vision 的访问日志以及 PI Web API 的调用日志。这些日志需要被集中采集、关联分析，才能形成完整的审计证据链。
核心目标对照：
- 最小权限：PI Identity 按角色划分，避免直接给用户赋 PI Point 级权限。
- 职责分离：PI 管理员、AF 建模人员、审计员由不同账号承担。
- 可追溯：开启 PI Audit Trail，保留至少 180 天日志。
- 可复核：每季度执行一次权限复核，输出差异报告。
三、典型合规要求：等保与 ISO 27001
在国内工业场景中，等保 2.0（GB/T 22239-2019）是最常见的合规基线。与 PI System 直接相关的控制项包括：身份鉴别（双因素认证）、访问控制（最小权限）、安全审计（日志留存不少于 6 个月）、入侵防范（接口白名单）、数据完整性（传输加密）等。ISO 27001 则更强调信息安全管理体系（ISMS）的持续改进，其附录 A 中的 A.9 访问控制、A.12 运行安全、A.16 事件管理对 PI System 权限治理有直接指导意义。
实际落地时，建议把合规要求转化为可检查的技术项。例如，等保要求“应对登录用户进行身份标识和鉴别”，对应到 PI System 就是：禁止共享账号、启用 AD 集成、对 PI Vision 启用 HTTPS 与 SSO。ISO 27001 要求“访问权限应定期评审”，对应到 PI System 就是：每季度导出 PI Identity 成员清单，与 HR 在职名单比对。
四、课程整体学习路径与实战项目
本课程共 30 章，按“认知—设计—实施—审计—优化”五个阶段推进。前 6 章建立 PI System 安全模型与合规基线；第 7 至 14 章深入 PI Data Archive 与 PI AF 的权限配置，包括 PI Identity、PI Mapping、PI Group、元素级安全；第 15 至 22 章聚焦审计体系，涵盖 PI Audit Trail、Windows 事件转发、SIEM 集成与告警规则；第 23 至 30 章进入实战优化，包括权限复核自动化、离职账号回收、审计报告生成与红蓝对抗演练。
贯穿全课程的实战项目是：为一家虚构的“华东化工”企业设计并实施 PI System 权限安全与审计体系。该企业拥有 1 台 PI Data Archive、1 台 PI AF Server、约 120 个 PI Interface、8000 个 PI Point、3 个 PI Vision 服务器，用户约 300 人，分为生产操作、工艺分析、设备管理、IT 运维四类角色。项目交付物包括：权限矩阵、PI Identity 配置清单、审计日志采集方案、季度复核 SOP 以及一次模拟审计报告。
学习建议：每章结束后，请在自己的测试环境或实验环境中复现关键配置。PI System 的权限模型具有“继承+覆盖”特性，只有亲手操作过 PI Identity 与 PI Mapping 的优先级关系，才能真正理解权限冲突的排查方法。
五、关键概念速览
| 概念 | 作用 | 安全关注点 |
|---|---|---|
| PI Identity | PI 系统内部的权限主体 | 避免直接映射到个人账号，应按角色建 Identity |
| PI Mapping | 将 Windows 账号映射到 PI Identity | 映射规则优先级高于直接赋权，需定期审查 |
| PI Point Security | 控制单个位号的读写权限 | 默认权限往往过宽，需按区域/装置收紧 |
| PI AF Security | 控制元素、属性、模板的访问 | 支持继承，需注意子元素覆盖父元素的情况 |
| PI Audit Trail | 记录 PI Data Archive 操作 | 需确认已启用并配置合理的保留周期 |