简介：这份文档面向使用西门子 SIMATIC WinCC 的工控工程师与自动化技术人员，聚焦 WinCC OPC 服务器与 OPC 客户机之间基于 DCOM 的数据交换配置问题，尤其针对登录用户无管理员权限、服务器与客户机使用不同账号登录等需要手动调整 DCOM 设置的场景。资源包共 1 个 doc 文件，约 29KB，内容围绕 OPC 操作基础与 DCOM 设置修改展开，涵盖 Windows 2000 环境下创建对应用户账号、运行 dcomcnfg.exe、定位 OPCServer.WinCC 及 HDA、A&E 服务器条目、设置自定义访问与启动权限等完整流程，并附有安全性说明与参考文档提示。已有 2620 人学习，适合需要排查 OPC 连接失败、理清权限配置思路的读者对照查阅，可作为现场调试时的操作参考。
1. 装完 WinCC 连不上 OPC？先别急着重装系统
上周帮一个做产线改造的朋友远程看环境，WinCC 装好了，画面能跑，变量能读，唯独上位机那边的 OPC 客户端一连接就报“拒绝访问”。他第一反应是 WinCC 装坏了，准备格盘重来。我让他先别动，打开dcomcnfg.exe看了一眼——OPCServer.WinCC的安全权限里，ANONYMOUS LOGON压根没在列表里。前后改了三处权限，五分钟通了。
这就是 WinCC OPC 服务器配置最典型的翻车现场：软件本身没毛病，卡在 DCOM 这一层。WinCC 和 OPC 客户机之间的数据交换走的是 DCOM，装完 WinCC 之后默认的 DCOM 设置对“本机管理员同账号”这种理想情况是够用的，但只要碰到两种场景——登录 OPC 客户机或服务器的用户没有管理员权限，或者 OPC 服务器和客户机用不同账号登录——默认配置立刻失效。这份《WinCC-OPC 服务器配置详细方法》文档讲的就是这两类场景下怎么把 DCOM 权限掰开揉碎配一遍。适合谁看：正在做 WinCC 与第三方 OPC 客户端对接的自动化工程师、刚接手老产线维护的运维、以及被“拒绝访问”和“类未注册”反复折磨过的现场调试人员。下面按“环境先列清、再一步步配、最后能验证跑通”的顺序走一遍，中间穿插我踩过的坑。
2. 环境与版本先对齐：WinCC OPC 服务器到底依赖什么
2.1 操作系统与 WinCC 版本的对应关系
这份文档的原始步骤写的是 Windows 2000 和 Windows XP 下的 DCOM 配置，dcomcnfg.exe的界面也是那个年代的样式。但现场不可能全是老系统，我一般会先把版本对应关系列清楚再动手，避免在 Win7 上照着 XP 的截图找按钮。
| 操作系统 | DCOM 配置入口 | 与文档步骤的差异 |
|---|---|---|
| Windows 2000 | 运行dcomcnfg.exe | 与文档完全一致 |
| Windows XP | 运行dcomcnfg.exe | 界面基本一致，个别标签名微调 |
| Windows 7 / 10 | 运行dcomcnfg.exe或comexp.msc | “应用程序”列表需切到“组件服务→计算机→我的电脑→DCOM 配置” |
| Windows Server 2008 及以上 | comexp.msc | 多了“安全”全局默认值一层，需同时检查 |
关键点在于：文档里说的“应用程序”标签，在 Win7 以后的dcomcnfg.exe里默认不直接显示，得从“组件服务”树形目录往下钻到“DCOM 配置”才能看到OPCServer.WinCC。很多人第一次在 Win10 上打开dcomcnfg.exe发现界面跟文档对不上，以为文档过时了，其实是入口变了，条目还在。
WinCC 版本方面，文档没有写具体版本号，但从 DCOM 条目名OPCServer.WinCC、OPCHDAServers.WinCC、OPCServerAE.WinCC来看，覆盖的是 WinCC 6.x 到 7.x 这一代。WinCC 7.4 之后部分版本对 OPC UA 的支持更完整，但传统 OPC DA 走 DCOM 的路径没变，这份配置方法依然适用。我一般会先确认三件事：WinCC 是否已正常启动并激活了 OPC 服务器组件、操作系统位数是否与 WinCC 匹配、以及 OPC 客户机那边用的是什么客户端软件——这三条不确认，后面配 DCOM 就是盲调。
2.2 账号模型：同账号、跨账号、无管理员权限三种情况
文档里明确写了“如下情况设置必须改变”：用户没有管理员权限，或者 OPC 服务器用不同于客户机的账号登记。这两句话背后其实是三种账号模型，配置策略完全不同。
第一种，OPC 服务器和客户机用同一个域账号登录，且该账号是管理员。这是最省事的情况，装完 WinCC 默认就能通，基本不用动 DCOM。第二种，两边用不同账号，但都在同一个域里。这时候需要在两边互相建对方账号，DCOM 权限里把“所有人”和“网络”加进去。第三种，没有域，纯工作组环境，两边各用本地账号。这是现场最常见也最容易翻车的——本地账号的 SID 不互通，DCOM 认的是账号名加密码，必须两边手动建同名同密码的账号，否则权限列表里加了也白加。
我一般会先问清楚现场是域环境还是工作组。工作组的做法是：在 OPC 客户机上建一个与服务器端登录账号同名的本地用户，密码设成一样；反过来在服务器上也建客户机那边的账号。这一步文档里叫“先决条件”，写在 2.1 节开头，但很多人直接跳到步骤 1 去开dcomcnfg.exe，把先决条件漏了，后面权限怎么加都不生效。
提示：工作组环境下，两边账号的密码必须完全一致，包括大小写。改完密码后 DCOM 权限不会自动刷新，需要重启一次 OPC 服务器所在机器的相关服务，或者干脆重启机器。
3. 动手配 DCOM：从 dcomcnfg 到 OPCServer.WinCC 权限逐项落地
3.1 打开 dcomcnfg 并定位到正确的 OPC 服务器条目
第一步永远是打开配置工具。文档写的是“从开始菜单中选‘运行...’并输入dcomcnfg.exe”，这在 XP 上没问题，Win7 以后我习惯直接用管理员权限运行，否则改权限时可能提示无权限保存。
# 以管理员身份打开 DCOM 配置工具 # Win+R 输入以下命令，或在管理员命令行中执行 dcomcnfg.exe执行后弹出“分布式 COM 配置属性”对话框。如果是 Win7 及以上，dcomcnfg.exe打开的是“组件服务”管理单元，需要依次展开“组件服务 → 计算机 → 我的电脑 → DCOM 配置”，在右侧列表里找条目。文档里说的“应用程序”标签对应就是这个列表。
条目名要选对，这是第一个容易错的地方。文档给了三个：
OPCServer.WinCC—— 标准 OPC DA 服务器，最常用OPCHDAServers.WinCC—— OPC HDA 历史数据服务器OPCServerAE.WinCC—— OPC A&E 报警与事件服务器
如果你只需要读实时变量，选第一个就行。我见过有人把三个条目全配了一遍，结果 A&E 那条目的权限配错反而导致报警上传异常。按实际用到的服务配，不要贪多。选中条目后右键“属性”，进入OPCServer.WinCC 属性对话框。
3.2 访问权限：把“所有人”“网络”“交互式”加进允许列表
进入属性对话框后切到“安全”标签，文档步骤 3 写的是“选择‘使用自定义访问权限’，单击‘编辑...’”。这里弹出的对话框在不同系统上叫法略有差异，XP 叫“注册表数值权限”，Win7 以后叫“访问权限”或“安全限制”，本质是同一个 ACL 编辑界面。
安全标签 → 使用自定义访问权限 → 编辑 在权限列表中，通过“添加”按钮依次加入以下主体，并勾选“允许访问”： Administrators（管理员） INTERACTIVE（交互式） Everyone（所有人） NETWORK（网络） SYSTEM（系统）这五个主体是文档步骤 4 明确列出的。逐个说明一下为什么都要加：
Administrators：本机管理员调试时用，不加的话连自己都连不上。INTERACTIVE：本地交互登录的用户，WinCC 运行时服务有时以交互式身份跑。Everyone：兜底，工作组环境下没有域账号时靠它放行。NETWORK：远程 OPC 客户机通过网络访问时走这个身份，远程连接必须加。SYSTEM：WinCC 后台服务以系统身份运行，漏了它本机服务间通信会断。
加完之后点“确定”关闭。这里有个细节：文档写的是“通过右键‘允许访问’添加”，实际操作中是在权限对话框里点“添加”选用户，然后在权限条目里勾“允许”。不同系统界面措辞不同，但逻辑一样——确保这五个主体在“允许访问”列打勾，不要出现在“拒绝”列。
3.3 启动权限：只放“所有人”和“网络”就够
文档步骤 5 和 6 处理的是启动权限：“在‘安全性’标签下选择‘使用自定义启动权限’，单击‘编辑...’，右键‘允许启动’添加用户‘所有人’和‘网络’。”
安全标签 → 使用自定义启动权限 → 编辑 在权限列表中，添加以下主体并勾选“允许启动”： Everyone（所有人） NETWORK（网络）注意这里和访问权限不一样，启动权限只加了两个主体，没有加 Administrators、INTERACTIVE、SYSTEM。这是文档的原意，我理解是因为启动权限控制的是“谁能拉起这个 COM 服务器进程”，范围收窄一些更安全。实际配置时我一般会额外确认一下SYSTEM是否已经在默认列表里——有些系统装完 WinCC 后 SYSTEM 默认就在启动权限里，如果被误删，WinCC 自己的服务启动 OPC 服务器会失败，表现为本机客户端也连不上。
配完这两处，点“确定”逐层关闭所有对话框。文档到这里写“OPC 服务器设置完毕”，但实际现场我从来不敢直接收工，必须走一遍验证。
注意：文档开头明确写了“下列说明描述了授权 OPC 服务器的完整版本，没有考虑安全性需求。这些设置允许通过 OPC 进行连接。建议这些设置由网络管理员完成。”也就是说这套配法是把权限放到最宽，适合内网隔离的产线环境。如果 OPC 服务器所在网段有其他办公终端，配完之后最好再收一收
Everyone的范围，换成具体的账号组。
4. 避坑与排查：五条现场血泪记录
4.1 现象：客户端报“拒绝访问”，服务器端事件日志无记录
原因：DCOM 访问权限里缺NETWORK或ANONYMOUS LOGON。远程 OPC 客户机连接时，DCOM 先以匿名身份试探，再协商具体账号。如果访问权限列表里没有NETWORK，协商阶段就被拒，服务器端根本来不及记日志。
解决：回到 3.2 节，确认NETWORK在“允许访问”列表里。工作组环境下还要确认两边建了同名同密码账号。改完权限后不需要重启，但客户端要重新发起连接，旧的连接句柄不会自动恢复。
4.2 现象：本机客户端能连，远程客户端连不上
原因：Windows 防火墙拦了 DCOM 的 RPC 动态端口。DCOM 走 135 端口做端点映射，实际数据传输走动态高位端口，只开 135 不够。
解决：常见做法是在服务器端防火墙放行135/tcp以及 RPC 动态端口范围，或者临时关闭防火墙做连通性测试确认是防火墙问题后再精确放行。我一般会先用telnet 服务器IP 135测一下 135 通不通，通了再查动态端口。产线内网如果允许，把 OPC 服务器所在机器加入客户机的信任列表更省事。
4.3 现象：权限列表里加了账号，保存后重新打开又没了
原因：工作组环境下账号 SID 不匹配。你在客户机上建的账号和服务器上的账号虽然同名，但 SID 不同，DCOM 保存 ACL 时解析不到对应 SID，回写时就丢了。
解决：确认两边账号不仅同名，密码也完全一致，并且是在各自机器上本地创建的，不是从别处复制过来的用户配置文件。建完账号后先在两边互相用对方账号登录一次，让系统完成凭据缓存，再配 DCOM 权限。
4.4 现象：配完 HDA 或 A&E 条目后，标准 DA 连接反而断了
原因：三个 OPC 条目共用部分 DCOM 底层配置，改 A&E 的启动权限时误删了SYSTEM，导致 WinCC 后台服务拉起 DA 服务器失败。
解决：逐个条目检查，OPCServer.WinCC的启动权限里确保SYSTEM存在。如果已经被删，手动加回来。我一般配完一个条目就验证一次，不三个一起配完再测，出问题好定位。
4.5 现象：所有权限都配了，客户端还是报“类未注册”
原因：OPC 客户机那边没有注册 WinCC OPC 服务器的代理/存根 DLL，或者客户机是 64 位系统而 WinCC OPC 服务器是 32 位组件，注册表路径不对。
解决：在客户机上用管理员权限重新注册opcproxy.dll和opccomn_ps.dll（这两个文件通常在 WinCC 安装目录的bin下能找到，也可以从服务器端拷贝）。64 位系统上注意用 32 位版本的regsvr32，路径是C:\Windows\SysWOW64\regsvr32.exe。这一步文档没写，但跨位数对接时几乎必踩。
5. 装完怎么验证：三步确认 OPC 通道真的通了
配完 DCOM 权限不等于通了，我习惯用三层验证把问题卡在最小范围。第一层，服务器本机自测。在 WinCC 服务器上打开 WinCC 自带的 OPC 客户端工具（或者任意一个本机 OPC 客户端），连接OPCServer.WinCC，能浏览到变量树、能读到至少一个实时值，说明服务器端 DCOM 和 WinCC OPC 组件本身没问题。这一层不过，别往下走，回去查 3.2 和 3.3 的权限。
第二层，远程连通性。在 OPC 客户机上先用telnet 服务器IP 135确认 RPC 端点映射端口通，再用客户端的 OPC 浏览功能枚举服务器列表。如果能看到OPCServer.WinCC但连不上，问题在访问权限；如果连服务器列表都看不到，问题在网络或防火墙。这一步能把“网络问题”和“权限问题”分开。
第三层，实际数据读写。连上之后不要只看连接状态，要实际读一个模拟量变量，再写一个测试变量（如果客户端有写权限）。我遇到过连接显示正常但读出来全是Bad质量码的情况，原因是 WinCC 里对应变量没有激活或者采集周期没配。验证时顺手看一眼变量质量码，Good才算真通。
验证清单（按顺序走，不过就停）： 1. 服务器本机 OPC 客户端 → 浏览 OPCServer.WinCC → 读到变量值 2. 客户机 telnet 服务器 135 → 通 3. 客户机 OPC 客户端 → 枚举到 OPCServer.WinCC → 连接成功 4. 读取一个实时变量 → 质量码 Good 5. 写入一个测试变量 → 服务器端 WinCC 画面数值变化这套流程走完，基本能覆盖文档里那两类触发场景。最后说个习惯：从那以后我每次配完 WinCC OPC 的 DCOM，都会把dcomcnfg.exe里三个条目的权限截图存一份到项目文档里，下次换机器或者系统重装，直接对着截图核对，比重新翻文档快得多。DCOM 这东西玄学的地方在于界面措辞随系统版本变，但权限主体和勾选逻辑是固定的，记住“访问五个、启动两个”这个骨架，换什么系统都能对上。希望帮到你。
本文还有配套的精品资源，点击获取
