📚 课程目录第4章 PI System权限分配实战

4. PI System权限分配实战

PI System 的权限体系并非集中在一个界面里完成，而是分布在三个管理工具中协同生效：PI System Explorer 负责 PI AF 层级上的身份映射与元素级安全，PI SMT 负责 PI Data Archive 的点位级与数据库级安全，PI Vision 负责展示层的显示权限与共享规则。理解三者的分工与衔接，是完成一次典型生产场景权限配置的前提。

一、三个工具的安全职责边界

在动手配置之前，必须先明确“谁管什么”。PI Data Archive 的安全由 PI SMT 中的 Security 插件管理，核心对象是 PI Identity、PI Mapping 和 PI Point Security。PI AF 的安全由 PI System Explorer 管理，核心对象是 AF Identity、AF Mapping 以及数据库、元素、属性级别的 Security 设置。PI Vision 的安全则通过其管理站点配置，核心是 PI Vision Identity、Windows 组映射 以及显示（Display）的共享与权限。

三者的关系可以概括为：Windows 域账户通过映射进入 PI Identity，PI Identity 被授予具体对象上的权限，最终用户在客户端看到的数据与操作能力，是三层权限的交集。任何一层拒绝，用户就无法访问。

二、典型生产场景与配置目标

假设某化工厂的 PI System 需要为四类人员配置权限：操作员（只读查看实时数据与趋势）、工程师（可读写 PI Point、可编辑 AF 元素）、审计员（只读所有数据与配置，用于合规检查）、访客（仅能查看 PI Vision 上已共享的显示）。

配置目标如下：操作员能读取 Plant1 元素下的所有属性，但不能修改；工程师能读写 Plant1 下的 PI Point 和 AF 属性；审计员能读取全部数据库和点位，但无写权限；访客只能看到 PI Vision 中标记为“Public”的显示。

三、在 PI SMT 中创建 PI Identity 与 Mapping

打开 PI SMT，依次进入 Security → Identities, Mappings, and Trusts。在 Identities 选项卡中点击 New，创建四个 PI Identity：Operator、Engineer、Auditor、Viewer。注意 PI Identity 名称区分大小写，建议与后续 AF Identity 保持一致，便于排查。

切换到 Mappings 选项卡，点击 New，将 Windows 组映射到 PI Identity。例如：

Mapping Name:  MAP_Operators
Windows Account: DOMAIN\PI_Operators
PI Identity:   Operator
Apply to:      PI Data Archive

依次创建 MAP_Engineers、MAP_Auditors、MAP_Viewers。映射完成后，可在 Mappings 列表中看到每条映射的 Windows 账户与对应 PI Identity。此时尚未授予任何数据权限，用户登录后仍无法读取点位。

四、在 PI SMT 中配置 Point Security

进入 Security → Point Security。PI Point 的安全通过 Security Class 或直接对点位设置 Access 来控制。推荐做法是创建安全类，再将点位归入安全类。

在 Security Class 中新建 SC_Plant1_ReadOnly，设置 Operator 和 Auditor 为 Read，Engineer 为 Read/Write，Viewer 无权限。然后在 PI SMT 的 Points → Point Builder 中，将 Plant1 相关点位（如 Plant1.Reactor.Temp、Plant1.Reactor.Pressure）的 Security Class 设为 SC_Plant1_ReadOnly。

PI Point 的 Access 字段为 r 表示只读，rw 表示读写。安全类优先级高于单点设置，建议统一用安全类管理，避免逐点维护。

五、在 PI System Explorer 中创建 AF Identity 与 Mapping

打开 PI System Explorer，连接到目标 AF Server。在 Database 上右键选择 Security → Identities，创建与 PI SMT 同名的 AF Identity：Operator、Engineer、Auditor、Viewer。接着在 Mappings 中，将 Windows 组映射到 AF Identity，映射关系与 PI SMT 保持一致。

AF 的权限授予在 Security 选项卡中完成。选中 Plant1 元素，打开 Security 面板，设置：

AF Identity	Database 权限	Plant1 元素权限	属性权限
Operator	Read	Read	Read
Engineer	Read/Write	Read/Write	Read/Write
Auditor	Read	Read	Read
Viewer	None	None	None

AF 安全支持继承：在 Database 级别设置的权限会向下继承到元素和属性，除非子级显式覆盖。因此建议先在 Database 级别设置基础权限，再对敏感元素单独收紧。

六、在 PI Vision 中配置显示权限

登录 PI Vision 管理站点，进入 Security → Identities，创建 PI Vision Identity 并映射 Windows 组。PI Vision 的显示权限分为 View、Edit、Share 三级。在 Displays 中选中目标显示，点击 Share，添加 Operator 为 View，Engineer 为 Edit，Auditor 为 View，Viewer 为 View（仅限 Public 显示）。

PI Vision 的显示权限不替代 PI Data Archive 和 PI AF 的权限。若用户在 PI Vision 中能看到显示，但底层 PI Point 无读取权限，显示中的趋势和数值将显示为空白或错误。三层权限必须同时满足。

七、验证与排障

配置完成后，用各角色的测试账户登录 PI Vision 和 PI System Explorer 验证：操作员应能查看趋势但无法修改 AF 属性；工程师应能编辑 AF 元素并写入 PI Point；审计员应能读取所有数据但无法写入；访客应只能看到 Public 显示。

若出现权限异常，按以下顺序排查：先确认 Windows 组映射是否正确（PI SMT 和 AF 中都要检查），再确认 PI Identity 是否被授予了对应对象的权限，最后确认 PI Vision 显示是否已共享给该 Identity。常见问题是映射名称大小写不一致，或 AF 中未创建与 PI SMT 同名的 Identity，导致权限链断裂。