保护 InTouch Web 客户端访问安全

通过配置系统管理服务器 (SMS)，可以安全地将 InTouch Web 客户端与 https 协议结合使用。此外，在配置 SMS 之后，可以将 InTouch Web 客户端与 AVEVA Identity Manager (AIM) 结合使用，以支持基于非 Windows 的安全性和单一登录。作为管理员，针对用户身份验证和安全性有多个可用的配置选项。安全性和用户管理应该协同工作，如需详细信息，请参阅在 Web 客户端中配置用户访问权限。

选项 1：缺省条件下，可以使用 http 协议和基于 Windows 的身份验证来访问 InTouch Web 客户端。

选项 2：使用配置器连接到本地或远程系统管理服务器。此处 InTouch Web 客户端将结合使用 https 协议与基于 Windows 的安全性（缺省条件下）。如果您连接到远程服务器，那么在访问 Web 客户端时必须为域用户提供凭证。

选项 3：在配置系统管理服务器之后，可以选择性地启用 AVEVA Identity Manager (AIM)。AIM 是一种可提供 OpenID Connect 端点的独立身份验证服务器。要使用 AIM，必须向标识服务器注册客户端。您可以使用系统管理服务器配置器或 InTouch HMI 应用程序管理器来配置 AIM。如需详细信息，请参阅向 AVEVA Identity Manager 进行注册。

在运行时，当“InTouch Web 客户端”页面加载时，如果没有有效的安全令牌，那么：

• Web 客户端将重定向到 AIM 的登录页面。

• AIM 将从 Active Directory 中检查用户凭证。

• 如果凭证有效，Active Directory 将会提供一个安全令牌，并将它返回给 Web 客户端。

• Web 客户端接着将使用该令牌授予用户访问权限。

如果安全令牌已经存在，即会授予用户访问权限。AIM 仅支持可从 Active Directory 进行验证的用户。

选项 4：“反向代理”选项允许 OT 网络外部的用户访问 Web 客户端。在配置器的“安全网关”字段中或 InTouch HMI 应用程序管理器的“Web 客户端”选项卡中提供反向代理服务器的 FQDN。

选项 5：在将 AIM 用于用户身份验证时，它会阻止将图形显示在 iFrame 中。选中允许将 Web 客户端嵌入任何网站复选框后，用户可以在运行时在 iFrame 中显示图形。在运行时，使用“共享”图标并选择要在 iFrame 中插入的代码段。