1. 课程导入与工业设备身份管理全景
在工业现场，设备一旦接入网络，就不再只是“某台机器”，而是一个需要被持续识别、验证和授权的网络实体。工业设备身份管理，解决的核心问题是：如何让每一台设备在网络中拥有唯一、可验证、可追溯的身份，并围绕这个身份管理其证书从签发到吊销的完整生命周期。本课程围绕这一主线展开，从身份定义、证书生命周期、典型场景到合规要求，逐步建立可落地的工程能力。
学习目标
完成本课程后，你应当能够：
- 准确描述工业设备身份的定义、构成要素与覆盖范围，区分设备标识、设备身份与设备证书三个层次；
- 说明数字证书在设备全生命周期各阶段（出厂、部署、运行、维护、退役）中的位置与作用；
- 根据典型工业场景（如PLC远程运维、边缘网关上云、产线设备互认）选择合理的身份方案；
- 识别等保2.0、IEC 62443、GB/T 22239等合规要求对设备身份与证书管理的具体约束；
- 独立完成设备证书申请、签发、部署、轮换与吊销的基本操作流程。
工业设备身份的定义与范围
工业设备身份，是指设备在网络与业务系统中被唯一识别和可信验证的一组属性集合。它通常由三个层次构成：
第一层是设备标识（Device Identifier）。这是设备在物理世界和资产管理系统中的“名字”，例如设备序列号、资产编号、MAC地址、工控协议站号。标识解决“这是哪台设备”的问题，但不解决“它是否可信”。
第二层是设备身份凭证（Credential）。这是设备用于向网络证明“我是我”的凭据，常见形式包括预共享密钥（PSK）、X.509数字证书、TPM/SE安全芯片中的私钥。凭证解决“它能否证明自己”的问题。
第三层是设备身份策略（Policy）。这是围绕身份定义的权限、有效期、轮换规则、吊销条件。策略解决“它能做什么、做到什么时候”的问题。
范围上，工业设备身份管理覆盖的不只是PLC、DCS、RTU等控制设备，还包括工业交换机、边缘网关、HMI、工业摄像头、传感器、机器人控制器，以及近年来大量接入的IIoT终端。凡是需要接入工业网络、参与数据交换或接受远程管理的设备，都应纳入身份管理范围。
证书管理在设备全生命周期中的位置
数字证书是工业设备身份最主流的载体。它把设备公钥与设备标识绑定，并由受信任的CA（证书颁发机构）签名，使验证方无需预先共享密钥即可确认设备身份。证书管理贯穿设备全生命周期，各阶段的关键动作如下：
| 生命周期阶段 | 证书管理动作 | 关键输出 |
|---|---|---|
| 出厂/预配置 | 生成密钥对、申请初始证书、注入设备 | 设备唯一证书+私钥 |
| 现场部署 | 验证证书链、绑定设备标识、注册到CA/资产库 | 可信设备台账 |
| 运行阶段 | 证书有效性检查、双向TLS认证、状态监控 | 可信通信会话 |
| 维护/更新 | 证书轮换、重新签发、密钥更新 | 新证书+旧证书归档 |
| 退役/故障 | 证书吊销、私钥销毁、台账注销 | CRL/OCSP更新记录 |
其中，证书轮换和证书吊销是最容易被忽视、却最影响安全性的两个环节。工业设备往往部署在无人值守环境，证书过期后若不能自动轮换，会导致设备离线；设备退役后若未吊销证书，残留私钥可能被用于伪造身份接入网络。
典型应用场景
场景一：PLC远程运维。工程师通过VPN或工业云平台远程访问现场PLC。若仅用账号密码，一旦密码泄露，攻击者可直接下发控制指令。引入设备证书后，运维终端与PLC之间建立双向TLS通道，双方互验证书，未持有合法证书的终端无法建立会话。示例参数：证书有效期设为1年，密钥算法采用ECC P-256，签名算法SHA-256，证书扩展项包含设备序列号与站点编码。
场景二：边缘网关安全上云。边缘网关通过MQTT over TLS向云平台上报数据。网关侧预置设备证书，云平台在TLS握手阶段验证证书链和吊销状态。若网关证书被吊销，平台立即拒绝连接并触发告警。实际部署中，网关证书通常由企业私有CA签发，云平台配置该CA为信任锚。
场景三：产线设备互认通信。在柔性产线中，机器人控制器、视觉系统、PLC之间需要动态建立通信关系。通过OPC UA的X.509证书机制，设备在建立会话前交换并验证证书，确保只有经过授权的设备才能加入产线网络。这种方式比传统的IP白名单更灵活，也更能适应设备频繁变更的产线环境。
合规要求
工业设备身份管理不是可选项，而是多项法规和标准的明确要求。等保2.0在“安全计算环境”和“安全通信网络”层面对身份鉴别、访问控制、数据完整性提出要求，三级系统明确要求采用密码技术进行身份鉴别。IEC 62443-4-2针对工业自动化控制系统组件，要求设备具备唯一标识、支持证书管理、能够验证通信对端身份。GB/T 22239则从网络安全等级保护角度，对设备接入认证和证书管理提出具体控制项。此外，《密码法》对密钥生成、存储、使用、销毁的全流程合规性提出要求，工业设备证书管理必须使用符合国家密码管理规定的算法和产品。