以下内容节选自机械工业出版社出版的西门子自动化技术丛书----《SIMATIC S7- 1500 与 TIA博途软件使用指南》， 作者崔坚。更多更详细的内容请您参考《SIMATIC S7- 1500 与 TIA博途软件使用指南》一书。

• 13.2 通过设置CPU的4层访问级别实现访问控制

S7-1500 提供4层访问级别，不同的访问级别代表不同的访问权限。通过设置3级不同的访问密码，分别提供给不同权限的用户，来实现对CPU的最大限度保护。4层访问系统示意图如图13- 1所示。

图13-1  S7-1500的4级访问权限

在S7-1500 CPU 属性“常规”--> “保护”下，可以设置CPU的4层访问级别，设置界面如图13- 2所示。

图13-2  4层访问级别设置界面

CPU提供了四个访问级别和三个密码保护级别，分别对应着HMI访问、程序读、和程序写的访问权限的不同组合，四个访问级别如下：

“完全访问权限（无任何保护）”：选择该访问级别可以进行HMI访问、程序读和程序写的操作并且不需要密码。

“读访问权限”：该访问级别需要在上一层级（完全访问权限）设置密码，以限制“写”操作。对通过HMI访问和程序“读”操作没有限制。

 “HMI访问权限”： 该访问级别需要至少在第一层（完全访问权限）设置密码，也可以在第二层再次设置密码，以限制“读、写”操作。对通过HMI访问操作没有限制。

 “不能访问（完全保护）”：该访问级别需要至少在第一层（完全访问权限）设置密码，也可以在第二层、第三层再次设置密码，以限制HMI访问、程序“读、写”操作。

不同的密码对应不同的访问级别，输入最高访问级别的密码可以对所有下级进行访问，例如在操作面板的连接中输入任意一级保护密码即可连接到PLC。

注意：

SIMATIC支持与S7-1500进行加密通信的HMI有：带有S7-1500驱动的屏，WinCC Advanced RT和WinCC  Professional RT，经典Wincc V7.3等。如果PLC对上述的HMI访问设置了密码，那么在组态S7-1500与HMI的连接时，需要在HMI的连接属性中输入预置的HMI访问权限密码，方可实现对S7-1500的访问。

考虑到数据安全问题，如果远程伙伴要通过PUT/GET通信的方式访问S7-1500 CPU，则需要在S7-1500 CPU 属性“常规”--> “保护”-->“连接机制” 中激活“允许来自远程对象（PLC，HMI，OPC…）的PUT/GET通信访问”选项，如图13- 3所示。例如一个CPU需要通过S7单边通信，调用功能块PUT/GET来访问另外一个S7-1500 CPU，则一定要在被访问的1500 PLC侧激活此选项。当访问级别设置为“不能访问（完全保护）”的情况下，此选项不可用。 

图13-3 使能S7-1500 的PUT/GET通信

当发生某些“安全事件”时，CPU会将这些事件储存在诊断缓冲区中，这些安全事件包括：切换到在线状态时使用了正确或者错误的密码、更改保护等级（访问保护）后并下载至CPU、创建CPU的备份等。可以设置“在出现大量消息时汇总安全事件”选项，以防止相同的安全事件频繁的进入诊断缓冲区，如图13- 3所示，CPU的诊断缓冲区只接收一种事件类型的前三个事件，然后会忽略此类型的所有后续事件。在设置的“间隔长度”时间结束时，CPU生成组报警作为此时间间隔内所有其它安全事件的摘要。

• 13.3 通过设置CPU Web服务器访问密码实现访问控制

S7-1500 PLC支持Web服务器，激活此功能可以通过Web服务器实现修改PLC变量、切换PLC操作模式、执行固件更新等操作。相关操作权限可以通过设置CPU的Web服务器访问密码实现，即对不同的账号设置不同的操作权限，从而确保未经授权的用户通过Web服务器的方式不能对S7-1500 PLC进行受限的操作。该设置菜单在CPU属性“常规”--> “Web服务器”下，如图13- 4所示。

图13-4 Web服务器用户管理

在Web服务器用户管理中，可以对不同的用户进行授权，通过“访问级别”中的下拉菜单按钮进行选择，如图13- 5所示。

图13- 5 Web服务器权限一览

设置完毕后，打开PLC的Web页面，在左上方的登录按钮输入用户名和密码登录后，对应操作权限的菜单才会出现。