Detalles del servicio FHIR de datos de dispositivo

Visión General de Política

Los permisos se gestionan mediante políticas de OCI IAM. Si no conoce las políticas, consulte Cómo funcionan las políticas de IAM, Introducción a las políticas y Referencia de políticas.

Las políticas de OCI IAM pueden autorizar a los usuarios a gestionar recursos del plano de control de DDFS y pueden autorizar a una entidad de recurso de instancia de DDFS a acceder a un recurso de OCI necesario, como un secreto de Vault. No autorizan las solicitudes protegidas del plano de datos FHIR. Las solicitudes de operación y recursos de FHIR protegidos requieren tokens de acceso OAuth de dominios de identidad de OCI con ámbitos OAuth de DDFS.

Políticas de usuario

Estas políticas definen quién puede acceder a los recursos de DDFS y qué acciones pueden realizar. Debe tener los permisos adecuados en una política para crear, actualizar o gestionar recursos de DDFS, tanto si utiliza la consola, la API de REST, el SDK, la CLI u otra interfaz.

La política debe otorgar explícitamente acceso a los recursos de DDFS con los que desea trabajar. Si encuentra un mensaje de permiso denegado o no autorizado, póngase en contacto con el administrador para verificar sus permisos y los compartimentos disponibles.

Por defecto, solo los miembros del grupo Administrators tienen acceso completo a los recursos de DDFS. Otros usuarios necesitan políticas personalizadas que otorguen los derechos necesarios para sus roles.

Ejemplo de sentencias de política

Ejemplos de sentencias de política para tipos de recursos y permisos de DDFS:

Permite a un grupo gestionar todas las instancias de DDFS y las solicitudes de trabajo en un compartimento específico.

allow group <group-name> to manage ddfs-instance-family in compartment <compartment-name>

Permite a un grupo gestionar instancias de DDFS en un compartimento específico.

allow group <group-name> to manage ddfs-instance in compartment <compartment-name>

Permite a un grupo gestionar solicitudes de trabajo de DDFS en un compartimento específico.

allow group <group-name> to manage ddfs-work-request in compartment <compartment-name>

Permite a un grupo mostrar instancias de DDFS en un compartimento específico.

allow group <group-name> to inspect ddfs-instance in compartment <compartment-name>

Permite a un grupo actualizar instancias de DDFS en un compartimento específico.

allow group <group-name> to use ddfs-instance in compartment <compartment-name>

Permite a un grupo mostrar y obtener instancias de DDFS en un compartimento específico.

allow group <group-name> to read ddfs-instance in compartment <compartment-name>

Permite a un grupo crear una instancia de DDFS en un compartimento específico.

allow group <group-name> to {DDFS_INSTANCE_CREATE} in compartment <compartment-name>

Permite que un grupo cree, actualice, mueva y suprima instancias de DDFS en un compartimento específico.

allow group <group-name> to {DDFS_INSTANCE_CREATE,DDFS_INSTANCE_UPDATE,DDFS_INSTANCE_MOVE,DDFS_INSTANCE_DELETE} in compartment <compartment-name>

Permite a un grupo mover instancias de DDFS de un compartimento de origen a un compartimento de destino en el mismo arrendamiento. DDFS comprueba DDFS_INSTANCE_MOVE en ambos compartimentos.

allow group <group-name> to {DDFS_INSTANCE_MOVE} in compartment <source-compartment-name>
allow group <group-name> to {DDFS_INSTANCE_MOVE} in compartment <destination-compartment-name>

Estas sentencias otorgan solo los permisos de instancia mostrados. No otorgan permisos de inspección o lectura, y no otorgan acceso a solicitudes de trabajo. Otorgue esos permisos por separado cuando los usuarios deban mostrar u obtener instancias o supervisar operaciones.

Otorgar acceso a DDFS a un secreto de autorización de suscripción

Esta política de OCI IAM gestionada por el cliente otorga un permiso de entidad de recurso de instancia de DDFS para leer un secreto de OCI Vault para la autorización de notificación de bloqueo de REST. No otorga a un usuario ni a una aplicación cliente permiso para crear o gestionar recursos de suscripción de FHIR.

Alimente la sentencia de política al compartimento que contiene el secreto. Este compartimento puede diferir del compartimento que contiene la instancia de DDFS. Utilice una sentencia independiente para cada secreto que la instancia debe leer.

Allow any-user to {SECRET_BUNDLE_READ} in compartment <secret-compartment>
where all {request.principal.id = '<ddfs-instance-ocid>', request.principal.type = 'ddfsinstance', target.secret.id = '<secret-ocid>'}

El asunto any-user está restringido por las condiciones where all al secreto y principal de instancia de DDFS especificados.

Para ver la definición de extensión y el ejemplo, consulte FHIR R6 Subscription OCI Vault Secret Extension. Para ver la secuencia de notificación completa, consulte FHIR R6 Subscription Workflow.

Tipos de recurso

DDFS ofrece ambos tipos de recursos agregados e individuales para escribir políticas.

Los tipos de recursos agregados le permiten crear menos políticas más amplias. Por ejemplo, en lugar de escribir políticas independientes para permitir que un grupo gestione instancias de DDFS y solicitudes de trabajo, puede escribir una única política que otorgue acceso al tipo de recurso agregado ddfs-instance-family.

Tipos de recursos agregados

• ddfs-instance-family: incluye los permisos para ddfs-instance y ddfs-work-request.

Tipos de recursos individuales

Utilice las políticas de tipo de recurso individual para permitir a los usuarios trabajar con recursos de DDFS específicos.

• ddfs-instance
• ddfs-work-request

Variables soportadas

Para agregar condiciones a sus políticas, utilice variables generales de OCI.

DDFS soporta las variables generales para todas las solicitudes para su uso con recursos.

DDFS no define variables específicas del servicio.

Detalles de combinaciones de verbo + tipo de recurso

La sintaxis de la política de OCI sigue este patrón:

allow <subject> to <verb> <resource-type> in <location> [where <conditions>]

En las siguientes secciones se describen los permisos y operaciones de API cubiertas por cada verbo para DDFS. El nivel de acceso es acumulativo a medida que pasa de inspect a read a use a manage.

familia_instancia_ddfs

Permita que el grupo especificado gestione todos los recursos de instancia y solicitud de trabajo de DDFS en el compartimento especificado.

allow group <group-name> to manage ddfs-instance-family in compartment <compartment-name>

Este tipo de recurso agregado incluye los siguientes tipos de recursos miembros:

• ddfs-instance
• ddfs-work-request

Los permisos otorgados por ddfs-instance-family son acumulativos en esos tipos de recursos de miembros.

instancia de ddfs

Permita que el grupo especificado gestione todos los recursos de instancia de DDFS en el compartimento especificado.

allow group <group-name> to manage ddfs-instance in compartment <compartment-name>

ddfs-work-request

Permita que el grupo especificado gestione todos los recursos de solicitud de trabajo de DDFS en el compartimento especificado.

allow group <group-name> to manage ddfs-work-request in compartment <compartment-name>

Permisos necesarios para cada operación de API del plano de control

En la siguiente tabla, se muestran las operaciones de API del plano de control del servicio Device Data FHIR en orden alfabético.

Para obtener más información sobre permisos de OCI, consulte Permisos.