Détails du service FHIR de données d'appareil

Aperçu de la stratégie

Les droits d'accès sont gérés via des stratégies OCI IAM. Si vous êtes novice en matière de stratégies, reportez-vous à Fonctionnement des stratégies IAM, à Introduction aux stratégies et à Référence de stratégie.

Les stratégies OCI IAM peuvent autoriser les utilisateurs à gérer les ressources de plan de contrôle DDFS et autoriser un principal de ressource d'instance DDFS à accéder à une ressource OCI requise, telle qu'une clé secrète de coffre. Ils n'autorisent pas les demandes de plan de données FHIR protégées. Les demandes de ressource et d'opération FHIR protégées nécessitent des jetons d'accès OAuth de domaines d'identité OCI avec des portées OAuth DDFS.

Stratégies utilisateur

Ces stratégies définissent les personnes autorisées à accéder aux ressources DDFS et les actions qu'elles peuvent effectuer. Vous devez disposer des droits d'accès appropriés dans une stratégie pour créer, mettre à jour ou gérer des ressources DDFS, que vous utilisiez la console, l'API REST, le kit SDK, l'interface de ligne de commande ou une autre interface.

La stratégie doit accorder explicitement l'accès aux ressources DDFS avec lesquelles vous comptez travailler. Si vous rencontrez un message d'autorisation ou de refus d'autorisation, contactez l'administrateur pour vérifier vos autorisations et les compartiments qui vous sont disponibles.

Par défaut, seuls les membres du groupe Administrators disposent d'un accès complet aux ressources DDFS. Les autres utilisateurs ont besoin de stratégies personnalisées qui accordent les droits requis pour leurs rôles.

Exemples d'instructions de stratégie

Exemples d'instructions de stratégie pour les types de ressource et les droits d'accès DDFS :

Permet à un groupe de gérer toutes les instances DDFS et les demandes de travail dans un compartiment spécifique.

allow group <group-name> to manage ddfs-instance-family in compartment <compartment-name>

Permet à un groupe de gérer les instances DDFS dans un compartiment spécifique.

allow group <group-name> to manage ddfs-instance in compartment <compartment-name>

Permet à un groupe de gérer les demandes de travail DDFS dans un compartiment spécifique.

allow group <group-name> to manage ddfs-work-request in compartment <compartment-name>

Permet à un groupe de répertorier les instances DDFS dans un compartiment spécifique.

allow group <group-name> to inspect ddfs-instance in compartment <compartment-name>

Permet à un groupe de mettre à jour les instances DDFS dans un compartiment spécifique.

allow group <group-name> to use ddfs-instance in compartment <compartment-name>

Permet à un groupe de répertorier et d'obtenir des instances DDFS dans un compartiment spécifique.

allow group <group-name> to read ddfs-instance in compartment <compartment-name>

Permet à un groupe de créer une instance DDFS dans un compartiment spécifique.

allow group <group-name> to {DDFS_INSTANCE_CREATE} in compartment <compartment-name>

Permet à un groupe de créer, mettre à jour, déplacer et supprimer des instances DDFS dans un compartiment spécifique.

allow group <group-name> to {DDFS_INSTANCE_CREATE,DDFS_INSTANCE_UPDATE,DDFS_INSTANCE_MOVE,DDFS_INSTANCE_DELETE} in compartment <compartment-name>

Permet à un groupe de déplacer des instances DDFS d'un compartiment source vers un compartiment de destination dans la même location. DDFS vérifie DDFS_INSTANCE_MOVE dans les deux compartiments.

allow group <group-name> to {DDFS_INSTANCE_MOVE} in compartment <source-compartment-name>
allow group <group-name> to {DDFS_INSTANCE_MOVE} in compartment <destination-compartment-name>

Ces instructions n'accordent que les droits d'accès d'instance répertoriés. Ils n'accordent pas d'autorisations d'inspection ou de lecture et n'accordent pas d'accès aux demandes de travail. Accordez ces droits d'accès séparément lorsque les utilisateurs doivent répertorier ou obtenir des instances ou surveiller les opérations.

Octroi de l'accès DDFS à une clé secrète d'autorisation d'abonnement

Cette stratégie OCI IAM gérée par le client octroie un droit d'accès de principal de ressource d'instance DDFS permettant de lire une clé secrète OCI Vault pour l'autorisation de notification de hook REST. Elle n'accorde pas à un utilisateur ou à une application client l'autorisation de créer ou de gérer des ressources d'abonnement FHIR.

Etendez l'instruction de stratégie au compartiment qui contient la clé secrète. Ce compartiment peut être différent du compartiment qui contient l'instance DDFS. Utilisez une instruction distincte pour chaque clé secrète que l'instance doit lire.

Allow any-user to {SECRET_BUNDLE_READ} in compartment <secret-compartment>
where all {request.principal.id = '<ddfs-instance-ocid>', request.principal.type = 'ddfsinstance', target.secret.id = '<secret-ocid>'}

Le sujet any-user est limité par les conditions where all au principal et à la clé secrète d'instance DDFS indiqués.

Pour obtenir la définition de l'extension et l'exemple, reportez-vous à FHIR R6 Subscription OCI Vault Secret Extension. Pour connaître la séquence de notification complète, reportez-vous à Workflow d'abonnement FHIR R6.

Types de ressource

DDFS fournit des ressources de type agrégé et individuel pour l'écriture de stratégies.

Les types de ressource agrégés vous permettent de créer moins de stratégies plus larges. Par exemple, au lieu d'écrire des stratégies distinctes pour permettre à un groupe de gérer des instances DDFS et des demandes de travail, vous pouvez écrire une stratégie unique qui accorde l'accès au type agrégé de ressource ddfs-instance-family.

Types de ressource agrégés

• ddfs-instance-family : inclut les droits d'accès pour ddfs-instance et ddfs-work-request.

Types de ressource individuels

Utilisez les stratégies de type de ressource individuelles pour permettre aux utilisateurs d'utiliser des ressources DDFS spécifiques.

• ddfs-instance
• ddfs-work-request

Variables prises en charge

Pour ajouter des conditions à vos stratégies, utilisez des variables générales OCI.

DDFS prend en charge les variables générales pour toutes les demandes pour une utilisation avec des ressources.

DDFS ne définit pas de variables propres au service.

Détails des combinaisons de verbe et de type de ressource

La syntaxe de stratégie OCI suit ce modèle :

allow <subject> to <verb> <resource-type> in <location> [where <conditions>]

Les sections suivantes décrivent les droits d'accès et les opérations d'API couverts par chaque verbe pour DDFS. Le niveau d'accès est cumulatif à mesure que vous passez d'un verbe à l'autre, dans l'ordre suivant : inspect, read, use, manage.

ddfs-instance-famille

Laissez le groupe indiqué gérer toutes les ressources d'instance et de demande de travail DDFS dans le compartiment indiqué.

allow group <group-name> to manage ddfs-instance-family in compartment <compartment-name>

Ce type de ressource agrégé inclut les types de ressource membre suivants :

• ddfs-instance
• ddfs-work-request

Les droits d'accès accordés par ddfs-instance-family sont cumulatifs entre ces types de ressource membre.

instance ddfs

Autorisez le groupe indiqué à gérer toutes les ressources d'instance DDFS dans le compartiment indiqué.

allow group <group-name> to manage ddfs-instance in compartment <compartment-name>

ddfs-demande de travail

Laissez le groupe indiqué gérer toutes les ressources de demande de travail DDFS dans le compartiment indiqué.

allow group <group-name> to manage ddfs-work-request in compartment <compartment-name>

Droits d'accès requis pour chaque opération d'API de plan de contrôle

Le tableau suivant répertorie les opérations d'API du plan de contrôle Service FHIR des données d'appareil par ordre alphabétique.

Pour plus d'informations sur les droits d'accès OCI, reportez-vous àDroits d'accès.