Dettagli per il servizio FHIR dati dispositivo

Panoramica criteri

Le autorizzazioni vengono gestite tramite i criteri IAM OCI. Se non si conoscono i criteri, vedere Funzionamento dei criteri IAM, Guida introduttiva ai criteri e Riferimento ai criteri.

I criteri IAM OCI possono autorizzare gli utenti a gestire le risorse del piano di controllo DDFS e possono autorizzare un principal risorsa dell'istanza DDFS ad accedere a una risorsa OCI richiesta, ad esempio un segreto vault. Non autorizzano richieste di piano dati FHIR protette. Le richieste di risorse e operazioni FHIR protette richiedono i token di accesso OAuth dei domini di Identity OCI con ambiti OAuth DDFS.

Criteri utente

Questi criteri definiscono chi può accedere alle risorse DDFS e le azioni che possono eseguire. È necessario disporre delle autorizzazioni appropriate in un criterio per creare, aggiornare o gestire le risorse DDFS indipendentemente dal fatto che si utilizzi la console, l'API REST, l'SDK, l'interfaccia CLI o un'altra interfaccia.

Il criterio deve concedere in modo esplicito l'accesso alle risorse DDFS con cui si intende lavorare. In caso di messaggio non autorizzato o di autorizzazione negata, contattare l'amministratore per verificare le autorizzazioni e i compartimenti disponibili.

Per impostazione predefinita, solo i membri del gruppo Administrators dispongono dell'accesso completo alle risorse DDFS. Altri utenti hanno bisogno di criteri personalizzati che concedano i diritti necessari per i loro ruoli.

Istruzioni criterio di esempio

Istruzioni criteri di esempio per i tipi e le autorizzazioni delle risorse DDFS:

Consente a un gruppo di gestire tutte le istanze DDFS e le richieste di lavoro in un compartimento specifico.

allow group <group-name> to manage ddfs-instance-family in compartment <compartment-name>

Consente a un gruppo di gestire le istanze DDFS in un compartimento specifico.

allow group <group-name> to manage ddfs-instance in compartment <compartment-name>

Consente a un gruppo di gestire le richieste di lavoro DDFS in un compartimento specifico.

allow group <group-name> to manage ddfs-work-request in compartment <compartment-name>

Consente a un gruppo di elencare le istanze DDFS in un compartimento specifico.

allow group <group-name> to inspect ddfs-instance in compartment <compartment-name>

Consente a un gruppo di aggiornare le istanze DDFS in un compartimento specifico.

allow group <group-name> to use ddfs-instance in compartment <compartment-name>

Consente a un gruppo di elencare e ottenere le istanze DDFS in un compartimento specifico.

allow group <group-name> to read ddfs-instance in compartment <compartment-name>

Consente a un gruppo di creare un'istanza DDFS in un compartimento specifico.

allow group <group-name> to {DDFS_INSTANCE_CREATE} in compartment <compartment-name>

Consente a un gruppo di creare, aggiornare, spostare ed eliminare istanze DDFS in un compartimento specifico.

allow group <group-name> to {DDFS_INSTANCE_CREATE,DDFS_INSTANCE_UPDATE,DDFS_INSTANCE_MOVE,DDFS_INSTANCE_DELETE} in compartment <compartment-name>

Consente a un gruppo di spostare le istanze DDFS da un compartimento di origine a un compartimento di destinazione nella stessa tenancy. DDFS controlla DDFS_INSTANCE_MOVE in entrambi i compartimenti.

allow group <group-name> to {DDFS_INSTANCE_MOVE} in compartment <source-compartment-name>
allow group <group-name> to {DDFS_INSTANCE_MOVE} in compartment <destination-compartment-name>

Queste istruzioni concedono solo le autorizzazioni dell'istanza elencate. Non concedono autorizzazioni di ispezione o lettura e non concedono l'accesso alle richieste di lavoro. Concedere tali autorizzazioni separatamente quando gli utenti devono elencare o ottenere le istanze o monitorare le operazioni.

Concedere l'accesso DDFS a un segreto di autorizzazione sottoscrizione

Questo criterio IAM OCI gestito dal cliente concede a un principal risorsa dell'istanza DDFS l'autorizzazione per leggere un segreto vault OCI per l'autorizzazione di notifica del hook REST. Non concede a un utente o a un'applicazione client l'autorizzazione per creare o gestire risorse di sottoscrizione FHIR.

Applicare l'istruzione dei criteri al compartimento che contiene il segreto. Questo compartimento può essere diverso dal compartimento che contiene l'istanza DDFS. Utilizzare un'istruzione separata per ogni segreto che l'istanza deve leggere.

Allow any-user to {SECRET_BUNDLE_READ} in compartment <secret-compartment>
where all {request.principal.id = '<ddfs-instance-ocid>', request.principal.type = 'ddfsinstance', target.secret.id = '<secret-ocid>'}

L'oggetto any-user è limitato dalle condizioni where all al principal e al segreto dell'istanza DDFS specificati.

Per la definizione e l'esempio dell'estensione, vedere Estensione segreta OCI Vault della sottoscrizione FHIR R6. Per la sequenza di notifica completa, vedere Flusso di lavoro sottoscrizione FHIR R6.

Tipi di risorsa

DDFS fornisce sia i tipi di risorse aggregate che individuali per la scrittura dei criteri.

I tipi di risorsa aggregati consentono di creare meno criteri più ampi. Ad esempio, invece di scrivere criteri separati per consentire a un gruppo di gestire istanze e richieste di lavoro DDFS, è possibile scrivere un singolo criterio che concede l'accesso al tipo di risorsa aggregata ddfs-instance-family.

Tipi di risorsa aggregati

• ddfs-instance-family: include le autorizzazioni per ddfs-instance e ddfs-work-request.

Tipi di risorse individuali

Utilizzare i singoli criteri per il tipo di risorsa per consentire agli utenti di utilizzare risorse DDFS specifiche.

• ddfs-instance
• ddfs-work-request

Variabili supportate

Per aggiungere condizioni ai criteri, utilizzare le variabili generali OCI.

DDFS supporta le variabili generali per tutte le richieste da utilizzare con le risorse.

DDFS non definisce variabili specifiche del servizio.

Dettagli per le combinazioni verbo-tipo di risorsa

La sintassi dei criteri OCI segue questo pattern:

allow <subject> to <verb> <resource-type> in <location> [where <conditions>]

Le sezioni seguenti descrivono le autorizzazioni e le operazioni API coperte da ciascun verbo per DDFS. Il livello di accesso è cumulativo quando si passa da inspect a read a use a manage.

famiglia-istanza-dfs

Consenti al gruppo specificato di gestire tutte le risorse delle istanze DDFS e delle richieste di lavoro nel compartimento specificato.

allow group <group-name> to manage ddfs-instance-family in compartment <compartment-name>

Questo tipo di risorsa aggregata include i seguenti tipi di risorsa membro:

• ddfs-instance
• ddfs-work-request

Le autorizzazioni concesse da ddfs-instance-family sono cumulative tra questi tipi di risorse membro.

istanza ddfs

Consenti al gruppo specificato di gestire tutte le risorse dell'istanza DDFS nel compartimento specificato.

allow group <group-name> to manage ddfs-instance in compartment <compartment-name>

ddfs-richiesta di lavoro

Consentire al gruppo specificato di gestire tutte le risorse delle richieste di lavoro DDFS nel compartimento specificato.

allow group <group-name> to manage ddfs-work-request in compartment <compartment-name>

Autorizzazioni richieste per ogni operazione API Control Plane

Nella tabella seguente sono elencate le operazioni API del piano di controllo FHIR dei dati dispositivo in ordine alfabetico.

Per ulteriori informazioni sulle autorizzazioni OCI, vedere Autorizzazioni.