2、WinCC安全基础：理解WinCC安全模型、用户账户、角色、权限、授权与审计的基本概念
WinCC作为西门子主流的SCADA（数据采集与监控系统）平台，广泛应用于流程工业、离散制造、基础设施等关键领域。随着工业互联网和IT/OT融合的推进，工控系统的网络安全形势日益严峻。WinCC的安全机制不仅是功能上的“门锁”，更是保障生产安全、数据完整性和合规性的核心支柱。本章将系统梳理WinCC安全模型中的六大核心要素：用户账户、角色、权限、授权与审计，帮助您建立清晰的安全架构认知，为后续的实战配置打下坚实基础。
2.1 核心原理：WinCC安全模型的分层架构
WinCC的安全模型并非单一技术点，而是一套从身份识别到操作追溯的完整闭环。理解其分层架构是掌握所有配置技巧的前提。WinCC的安全体系可以概括为“一个中心、四个层次、两条主线”。
一个中心指的是用户管理器（User Administrator），它是WinCC安全配置的入口和中枢。无论是本地单站项目还是分布式多站项目，所有安全策略的制定、修改和下发都通过该组件完成。在WinCC V7.x中，用户管理器集成在项目树中；在WinCC Unified（基于PC或Panel）中，则通过Web-based Engineering进行管理。
四个层次从底向上依次为：
- 身份层（Identity）：解决“你是谁”的问题，对应用户账户。每个操作者必须有唯一标识，可以是本地账户，也可以是Windows域账户或SIMATIC Logon集成账户。
- 策略层（Policy）：解决“你能做什么”的问题，对应角色与权限。管理员通过将权限组合成角色，再将角色分配给用户，实现批量化的权限管理。
- 执行层（Enforcement）：解决“操作是否被允许”的问题，对应授权。当用户在运行时尝试执行某个动作（如点击启动按钮、修改设定值），WinCC Runtime在后台进行权限校验，决定放行或拒绝。
- 追溯层（Traceability）：解决“发生了什么”的问题，对应审计。所有关键操作、登录登出、权限变更事件被记录到审计日志中，供事后分析和合规审查。
两条主线分别是配置期主线（在Engineering中定义用户、角色、权限）和运行期主线（在Runtime中执行身份验证、授权检查和审计记录）。这两条主线在时间上分离，在逻辑上关联，共同构成了WinCC安全模型的完整生命周期。
2.2 用户账户：身份的唯一标识
用户账户是WinCC安全体系的基础单元。在WinCC中，用户账户的管理涉及创建、禁用、密码策略、有效期等多个维度。
账户类型与来源：
| 账户类型 | 说明 | 适用场景 |
|---|---|---|
| WinCC本地账户 | 存储在WinCC项目数据库中，由用户管理器直接管理 | 单站系统、无域环境、小规模项目 |
| Windows账户 | 复用操作系统用户，通过WinCC的“Windows用户映射”功能关联 | 已部署Windows域的企业，希望统一IT账号管理 |
| SIMATIC Logon账户 | 使用西门子SIMATIC Logon组件进行集中身份认证，支持强密码策略、单点登录 | 大型多站项目、需要集中审计、符合ISA-99/IEC 62443标准的项目 |
账户管理的关键操作流程：
- 在WinCC项目管理器中，打开“用户管理器”编辑器。
- 在“用户”节点下，右键选择“新建用户”，输入用户名、全名、密码及确认密码。
- 设置密码策略：勾选“用户必须在下次登录时更改密码”或“密码永不过期”等选项。
- 设置账户有效期（可选）：指定账户的生效起始和结束日期，适用于临时工或项目外包人员。
- 将账户分配给一个或多个角色（详见2.3节）。
- 在运行时，用户通过WinCC Runtime的登录对话框输入凭据完成身份验证。
2.3 角色与权限：权限管理的核心机制
权限（Permission）是WinCC中定义的最小操作单元，例如“画面编辑”、“变量写入”、“启动/停止运行系统”、“确认报警”等。WinCC提供了约20种预定义权限，同时也允许用户自定义权限（最多可扩展至64个）。
角色（Role）则是权限的集合。通过将一组权限打包成角色，再将该角色分配给用户，实现了权限的批量管理。这种“用户-角色-权限”的间接映射模式，极大地简化了大型项目中的权限维护工作。
WinCC预定义角色（部分）：
| 角色名称 | 包含的主要权限 | 典型使用对象 |
|---|---|---|
| 管理员 | 所有权限（包括用户管理、项目编辑、系统启停） | 系统工程师、维护主管 |
| 工程师 | 画面编辑、变量管理、编译下载、在线监视 | 自动化工程师 |
| 操作员 | 画面操作、参数设定、报警确认、报表打印 | 车间操作工 |
| 只读用户 | 仅允许查看画面和趋势，无任何写操作权限 | 参观人员、管理人员 |
权限检查的运行时机制：当操作员在WinCC Runtime中点击一个按钮，该按钮的“权限”属性（如“操作员”）会被触发。Runtime安全子系统会执行以下步骤：
- 获取当前登录用户的账户信息。
- 查询该用户所属的所有角色。
- 汇总所有角色包含的权限集合。
- 检查目标权限是否存在于该集合中。
- 若存在，则执行动作；若不存在，则弹出“权限不足”提示并记录审计日志。
2.4 授权与审计：运行时的守护与记录
授权（Authorization）是权限在运行时的具体执行过程。它不仅仅是“有权限就放行”，还包含更细粒度的控制逻辑。例如，WinCC支持“时间限制授权”，即某个角色只能在特定时间段（如白班8:00-20:00）内拥有操作权限。此外，授权还涉及“模拟量写入的限值检查”——即使操作员拥有写入权限，其写入的数值也必须处于工艺允许的安全范围内。
审计（Audit）是安全模型中的最后一道防线。WinCC的审计功能可以记录以下事件：
- 用户登录/注销成功与失败
- 权限变更（用户、角色、权限的增删改）
- 关键操作（如启动/停止设备、修改设定值、确认报警）
- 系统事件（如项目下载、服务器切换）
审计日志可以存储在本地文件、SQL数据库或通过Syslog协议转发至SIEM（安全信息和事件管理）平台。对于需要满足FDA 21 CFR Part 11（制药行业）或NERC CIP（电力行业）合规要求的项目，审计功能是强制性的。
背景与约束：某化工厂的DCS上位机使用WinCC V7.5 SP2，共有3个操作员站、1个工程师站。原系统所有操作员均使用共享账户“operator”登录，密码为弱口令。在一次生产事故中，由于无法确定是哪位操作员误修改了反应釜温度设定值，导致批次报废。管理层决定实施严格的用户管理与审计。
初始现象与目标：事故后，工厂希望实现“一人一账户”，并确保所有关键操作可追溯。同时，不能影响正常生产效率，操作员登录时间应控制在10秒以内。
关键输入数据：操作员共12人，分为甲乙丙三个班组；工程师4人；管理员2人。关键操作包括：温度设定值修改、搅拌速度调整、报警确认、配方调用。
分析判断过程：我们评估了三种方案：A) 仅使用WinCC本地账户；B) 使用Windows域账户映射；C) 使用SIMATIC Logon。考虑到工厂IT环境已有Active Directory域控，且希望未来扩展单点登录，最终选择方案B，并辅以WinCC审计功能。
实际操作步骤：
1. 在AD域中为18名用户创建独立账户，并加入“WinCC_Operators”和“WinCC_Engineers”两个域用户组。
2. 在WinCC用户管理器中，创建“操作员”角色（赋予操作权限）和“工程师”角色（赋予操作+组态权限）。
3. 将域用户组映射至对应WinCC角色。
4. 启用审计功能，配置审计日志存储至中央SQL服务器。
5. 在关键画面按钮上设置“操作员”权限，并启用“操作记录”属性。
结果对比：实施后，每位操作员使用个人域账户登录，登录时间约5秒。在一次后续的工艺波动中，审计日志准确记录了某操作员在14:23:05将温度设定值从85.0℃改为92.0℃的操作记录，并关联了当时的操作员姓名、工作站IP和操作时间。管理层据此进行了针对性的工艺培训。
风险与代价：域控服务器故障可能导致WinCC登录失败，因此增加了本地管理员应急账户（仅限紧急使用，密码封存于保险柜）。此外，审计日志的存储空间增长较快，需定期归档。
复盘经验：权限管理必须与生产管理流程结合。共享账户是工控安全的大忌；审计功能不是“事后追责”的工具，更是“事前威慑”和“事中监控”的手段。
2.5 常见误区与总结复盘
在实际项目中，工程师在理解WinCC安全模型时经常陷入以下误区：
| 误区 | 正确理解 |
|---|---|
| “权限越多越好，免得麻烦” | 权限过大违背最小权限原则，增加误操作和恶意行为风险 |
| “用户账户就是登录名，不重要” | 账户是审计追溯的基础，必须唯一且与操作者实名绑定 |
| “角色和权限是一回事” | 角色是权限的集合，是中间层；权限是原子操作 |
| “授权就是登录时验证一次” | 授权是每次操作时的实时校验，且可附加时间、限值等条件 |
| “审计日志太占空间，关掉” | 审计是合规刚需，也是事故分析的唯一客观依据 |
总结复盘：WinCC安全模型的核心价值在于通过“用户-角色-权限-授权-审计”的链条，将“人”与“操作”进行可管理、可控制、可追溯的绑定。在实际项目中，建议遵循以下实施路径：
- 梳理岗位清单：明确项目中有哪些职能角色（操作员、工程师、管理员、访客）。
- 定义权限矩阵：为每个角色列出其允许执行的操作清单。
- 规划账户策略：确定账户来源（本地/域/Logon）、密码策略、有效期。
- 配置并测试：在测试环境中验证权限边界，确保无越权路径。
- 启用审计并定期复盘：定期检查审计日志，发现异常行为及时处理。