赛默飞CO2培养箱311 LDAP/AD 集成如何实现？
单点登录（SSO）：人员离岗即失效，减少本地密码泄露；
集中审计：配合 SIEM 统一留痕，满足 FDA 21 CFR Part 11、EU-GMP Annex 11 等法规；
生命周期同步：当员工调岗或离职，目录侧一键失效账户，而无需逐台设备手动删除。
一、引言：为何要做目录集成
在大型生物医药平台或 GMP 车间，越来越多的设备被纳入统一资产与身份管理体系。将 311 培养箱产生的数据、警报与操作权限统一至域控（AD）或 LDAP 目录，可实现——
单点登录（SSO）：人员离岗即失效，减少本地密码泄露；
集中审计：配合 SIEM 统一留痕，满足 FDA 21 CFR Part 11、EU-GMP Annex 11 等法规；
生命周期同步：当员工调岗或离职，目录侧一键失效账户，而无需逐台设备手动删除。
二、311 原生通信与身份特性解析
本机控制：311 使用 Enviro-Scan 面板，支持本地 PIN 码和参数锁定，但未内建 LDAP 客户端；所有目录集成只能在“外部系统层”完成。
数据输出：
RS-485/Modbus（选购 190523 Kit）
0–1 V / 4–20 mA 模拟量板卡（190544 Kit）
USB 导出 CSV（内置）
远程监控生态：Thermo Smart-Vue、DeviceLink Connect、Connect Edge 均可采集 311 数据，并在服务器/云端提供 Web UI 与 API，其中 Smart-Vue PRO Server 原生支持 LDAP/AD 绑定。
三、总体架构设计
text复制编辑┌──────────────┐ │AD / LDAP域控│ └──────┬───────┘ │(LDAPS 636) ┌──────┴────────────┐ │Smart-Vue / SCADA │←HTTPS/OPC UA→上层 LIMS │Edge Server │ │• 启动 LDAP Auth │ │• OPC UA / REST API│ └──┬───────┬───────┘ │RS-485 │USB ┌──┴───┐ ┌┴───┐ │311-1│ │311-2│ …（n 台） └─────┘ └─────┘
核心思想：把 311 视为“数据节点”，由 Edge Server 统一采集；所有用户只登录 Edge Server，即可查看实时曲线、下载日志、下发设定，而 Edge Server 再通过串口或 USB 与培养箱对话。这样就把目录认证层与设备控制层彻底隔离，既免去在设备上刷固件，又满足安全要求。
四、部署准备清单
| 类别 | 组件 | 关键参数 | 数量示例 |
|---|---|---|---|
| 硬件 | RS-485-to-TCP/IP 网关 | 支持 Modbus RTU⇄TCP，隔离 2 KV | 1 ∶ 每 8–10 台 311 |
| 软件 | Smart-Vue PRO 或 Ignition SCADA | 含 LDAP Module + OPC UA | 1 套 |
| 目录 | AD 域或 OpenLDAP | LDAPS 开启，TLS 证书有效 | 已存在 |
| 线缆 | 屏蔽双绞线 RS-485 | 120 Ω 终端电阻 | 按距离配 |
五、实施步骤（八步走）
启用 311 串口
断电→装 190523 RS-485 Kit→配置 CONFIG → rS 参数，设定 9600 8N1；
布线
多台 311 串连成 Bus，星形需加中继；末端插 120 Ω；
Edge Server 安装
选 Linux LTS；部署 Smart-Vue PRO（或 Ignition）；安装 LDAP/Auth 模块；
Modbus RTU 映射
根据 Thermo Map（寄存器 40001=温度，40003=CO₂）在 Edge Server 创建 Tag；
开启 LDAPS
在域控导出公钥链，Edge 导入 truststore；配置 ldap.url = ldaps://ad.example.com:636；
用户组映射
Admin：读/写设定、导出 CSV
User：只读曲线、报警确认
AD 建 CN=CO2_Admins、CN=CO2_Users；在 Edge把组映射到权限集：
单点登录验证
浏览器访问 Edge Server，输入域账号；成功后应见仪表盘；
审计日志落地
Edge 开启 Audit to SQL；每日 02 : 00 导出增量到 SIEM；文件加 SHA-256。
六、权限与安全细节
最小权限：若无下发设定需求，可令所有人只读；写权限仅授 QC 主管。
双因子：Edge Server 可叠加 TOTP；在域环境受限时，采用 RADIUS-to-LDAP 网关。
防火墙：
RS-485 网关 ←→ Edge：物理隔离 VLAN；
Edge ←→ AD：仅放行 636/LDAPS；
Edge Web：仅 443，启用 HSTS。
证书续期：使用企业 ACME 私有 CA；Edge Server 自动轮换 TLS 证书。
七、合规验证与 IQ/OQ
| 阶段 | 验证要点 | 方法 |
|---|---|---|
| IQ | 硬件安装正确、序列号登记 | 巡检表签字 |
| OQ | LDAP 登录成功、权限符合矩阵 | 脚本批量登录测试 |
| PQ | 7×24 数据完整、报警能邮件 | 比对 Edge vs CSV 导出 |
通过上述三阶段，可佐证“目录认证 + 审计追踪”符合 Part 11／Annex 11 对电子记录与电子签名的技术要求。
八、常见问题与排查
无法读数：检查 RS-485 总线终端阻抗与地址冲突；311 端地址可在 CONFIG->Adr 调整。
域登录慢：Edge 与 AD 时钟不同步；配置
ntpdate相同上游。报警邮件不发：Edge 防火墙未放行 587/SMTP；或域帐户缺少
mail属性。CSV 时间错位：311 面板时间未同步，建议每月手动校正或安装 NTP-RS485 时钟盒。
九、总结与展望
Thermo 311 自身不支持直接跑 LDAP 客户端，但凭借 RS-485/USB 开放接口与 Thermo Smart-Vue 或第三方 SCADA，即可在网关层实现域控集成。该策略具有：
原设备零修改——无需刷固件，不影响质保；
多厂商统一管理——同网关还能接入 310/3710 等家族设备；
完全可逆——断开网关 311 仍可本地独立运行。
未来若升级至 i160/Vios 160i，则可直接启用 DeviceLink Connect＋OPC UA，与同一 Edge Server 共享目录认证，进一步简化维护。
