Details zum FHIR-Dienst für Gerätedaten

Policy-Überblick

Berechtigungen werden über OCI IAM-Policys verwaltet. Wenn Sie sich nicht mehr mit Policys auskennen, lesen Sie Funktionsweise von IAM-Policys, Erste Schritte bei Policys und Policy-Referenz.

OCI-IAM-Policys können Benutzer zur Verwaltung von DDFS-Control-Plane-Ressourcen autorisieren und einen DDFS-Instanzressourcen-Principal für den Zugriff auf eine erforderliche OCI-Ressource, wie ein Vault Secret, autorisieren. Sie autorisieren keine geschützten FHIR-Data-Plane-Anforderungen. Geschützte FHIR-Ressourcen- und Vorgangsanforderungen erfordern OCI-Identitätsdomains-OAuth-Zugriffstoken mit DDFS-OAuth-Geltungsbereichen.

Benutzer-Policys

Diese Policys definieren, wer auf DDFS-Ressourcen zugreifen kann und welche Aktionen sie ausführen können. Sie benötigen die entsprechenden Berechtigungen in einer Policy, um DDFS-Ressourcen zu erstellen, zu aktualisieren oder zu verwalten, unabhängig davon, ob Sie die Konsole, die REST-API, das SDK, die CLI oder eine andere Schnittstelle verwenden.

Die Policy muss explizit den Zugriff auf die DDFS-Ressourcen erteilen, mit denen Sie arbeiten möchten. Wenn eine nicht autorisierte oder abgelehnte Berechtigungsnachricht angezeigt wird, bitten Sie den Administrator, Ihre Berechtigungen und die für Sie verfügbaren Compartments zu prüfen.

Standardmäßig haben nur Mitglieder der Gruppe Administrators vollständigen Zugriff auf DDFS-Ressourcen. Andere Benutzer benötigen benutzerdefinierte Policys, mit denen sie die erforderlichen Rechte für ihre Rollen erteilen.

Beispiel-Policy-Anweisungen

Beispiel-Policy-Anweisungen für DDFS-Ressourcentypen und -Berechtigungen:

Ermöglicht einer Gruppe die Verwaltung aller DDFS-Instanzen und Arbeitsanforderungen in einem bestimmten Compartment.

allow group <group-name> to manage ddfs-instance-family in compartment <compartment-name>

Ermöglicht einer Gruppe die Verwaltung von DDFS-Instanzen in einem bestimmten Compartment.

allow group <group-name> to manage ddfs-instance in compartment <compartment-name>

Ermöglicht einer Gruppe die Verwaltung von DDFS-Arbeitsanforderungen in einem bestimmten Compartment.

allow group <group-name> to manage ddfs-work-request in compartment <compartment-name>

Ermöglicht einer Gruppe das Auflisten von DDFS-Instanzen in einem bestimmten Compartment.

allow group <group-name> to inspect ddfs-instance in compartment <compartment-name>

Ermöglicht einer Gruppe das Aktualisieren von DDFS-Instanzen in einem bestimmten Compartment.

allow group <group-name> to use ddfs-instance in compartment <compartment-name>

Ermöglicht einer Gruppe das Auflisten und Abrufen von DDFS-Instanzen in einem bestimmten Compartment.

allow group <group-name> to read ddfs-instance in compartment <compartment-name>

Ermöglicht einer Gruppe das Erstellen einer DDFS-Instanz in einem bestimmten Compartment.

allow group <group-name> to {DDFS_INSTANCE_CREATE} in compartment <compartment-name>

Ermöglicht einer Gruppe das Erstellen, Aktualisieren, Verschieben und Löschen von DDFS-Instanzen in einem bestimmten Compartment.

allow group <group-name> to {DDFS_INSTANCE_CREATE,DDFS_INSTANCE_UPDATE,DDFS_INSTANCE_MOVE,DDFS_INSTANCE_DELETE} in compartment <compartment-name>

Ermöglicht einer Gruppe das Verschieben von DDFS-Instanzen aus einem Quell-Compartment in ein Ziel-Compartment im selben Mandanten. DDFS prüft DDFS_INSTANCE_MOVE in beiden Compartments.

allow group <group-name> to {DDFS_INSTANCE_MOVE} in compartment <source-compartment-name>
allow group <group-name> to {DDFS_INSTANCE_MOVE} in compartment <destination-compartment-name>

Diese Anweisungen erteilen nur die aufgeführten Instanzberechtigungen. Sie erteilen keine Berechtigungen zum Prüfen oder Lesen, und sie gewähren keinen Zugriff auf Arbeitsanforderungen. Erteilen Sie diese Berechtigungen separat, wenn Benutzer Instanzen auflisten oder abrufen oder Vorgänge überwachen müssen.

DDFS-Zugriff auf ein Abonnementautorisierungs-Secret erteilen

Diese vom Kunden verwaltete OCI-IAM-Policy erteilt einem DDFS-Instanzressourcen-Principal die Berechtigung, ein OCI Vault Secret für die Autorisierung der REST-Hook-Benachrichtigung zu lesen. Es erteilt einem Benutzer oder einer Clientanwendung keine Berechtigung zum Erstellen oder Verwalten von FHIR-Abonnementressourcen.

Geltungsbereich der Policy-Anweisung für das Compartment festlegen, das das Secret enthält. Dieses Compartment kann sich von dem Compartment unterscheiden, das die DDFS-Instanz enthält. Verwenden Sie eine separate Anweisung für jedes Secret, das die Instanz lesen muss.

Allow any-user to {SECRET_BUNDLE_READ} in compartment <secret-compartment>
where all {request.principal.id = '<ddfs-instance-ocid>', request.principal.type = 'ddfsinstance', target.secret.id = '<secret-ocid>'}

Das Subjekt any-user ist durch die where all-Bedingungen auf den angegebenen DDFS-Instanz-Principal und das angegebene Secret beschränkt.

Die Erweiterungsdefinition und das Beispiel finden Sie unter FHIR R6 Subscription OCI Vault Secret Extension. Die vollständige Benachrichtigungssequenz finden Sie unter FHIR R6 Subscription Workflow.

Ressourcentypen

DDFS stellt sowohl aggregierte als auch individuelle Ressourcentypen zum Schreiben der Policys bereit.

Mit aggregierten Ressourcentypen können Sie weniger, umfassendere Policys erstellen. Beispiel: Anstatt separate Policys zu schreiben, damit eine Gruppe DDFS-Instanzen und Arbeitsanforderungen verwalten kann, können Sie eine einzelne Policy schreiben, die Zugriff auf den aggregierten Ressourcentyp ddfs-instance-family erteilt.

Aggregierte Ressourcentypen

• ddfs-instance-family: Umfasst die Berechtigungen für ddfs-instance und ddfs-work-request.

Individueller Ressourcentyp

Verwenden Sie die einzelnen Ressourcentyp-Policys, damit Benutzer mit bestimmten DDFS-Ressourcen arbeiten können.

• ddfs-instance
• ddfs-work-request

Unterstützte Variablen

Um Bedingungen zu Ihren Policys hinzuzufügen, verwenden Sie allgemeine OCI-Variablen.

DDFS unterstützt die allgemeinen Variablen für Alle Anforderungen zur Verwendung mit Ressourcen.

DDFS definiert keine servicespezifischen Variablen.

Details für Kombinationen aus Verb + Ressourcentyp

Die OCI-Policy-Syntax folgt diesem Muster:

allow <subject> to <verb> <resource-type> in <location> [where <conditions>]

Die folgenden Abschnitte beschreiben die Berechtigungen und API-Vorgänge, die von jedem Verb für DDFS abgedeckt werden. Die Zugriffsebene ist kumulativ von inspect zu read zu use zu manage.

ddfs-instance-familie

Lassen Sie die angegebene Gruppe alle DDFS-Instanz- und Arbeitsanforderungsressourcen im angegebenen Compartment verwalten.

allow group <group-name> to manage ddfs-instance-family in compartment <compartment-name>

Dieser aggregierte Ressourcentyp umfasst die folgenden Elementressourcentypen:

• ddfs-instance
• ddfs-work-request

Die von ddfs-instance-family erteilten Berechtigungen sind für diese Member-Ressourcentypen kumulativ.

ddfs-Instanz

Lassen Sie die angegebene Gruppe alle DDFS-Instanzressourcen im angegebenen Compartment verwalten.

allow group <group-name> to manage ddfs-instance in compartment <compartment-name>

ddfs-work-Anforderung

Lassen Sie die angegebene Gruppe alle DDFS-Arbeitsanforderungsressourcen im angegebenen Compartment verwalten.

allow group <group-name> to manage ddfs-work-request in compartment <compartment-name>

Für jeden Control-Plane-API-Vorgang erforderliche Berechtigungen

In der folgenden Tabelle werden die API-Vorgänge der Control Plane für Gerätedaten-FHIR-Service in alphabetischer Reihenfolge aufgeführt.

Weitere Informationen zu OCI-Berechtigungen finden Sie unter Berechtigungen.