デバイス・データFHIRサービスの詳細

ポリシー概要

権限は、OCI IAMポリシーを介して管理されます。ポリシーに慣れていない場合は、IAMポリシーの仕組み、ポリシーの開始およびポリシー・リファレンスを参照してください。

OCI IAMポリシーは、ユーザーにDDFSコントロールプレーン・リソースの管理を認可し、DDFSインスタンス・リソース・プリンシパルがVaultシークレットなどの必要なOCIリソースにアクセスすることを認可できます。保護されているFHIRデータプレーン要求は承認されません。保護されたFHIRリソースおよび操作リクエストには、DDFS OAuthスコープを持つOCIアイデンティティ・ドメインのOAuthアクセス・トークンが必要です。

ユーザー・ポリシー

これらのポリシーは、誰がDDFSリソースにアクセスできるか、および実行できるアクションを定義します。コンソール、REST API、SDK、CLIまたは別のインタフェースのいずれを使用しても、DDFSリソースを作成、更新または管理するには、ポリシーに適切な権限が必要です。

ポリシーでは、操作するDDFSリソースへのアクセス権を明示的に付与する必要があります。未認可または権限の拒否メッセージが表示された場合は、管理者に連絡して、権限および使用可能なコンパートメントを確認してください。

デフォルトでは、AdministratorsグループのメンバーのみがDDFSリソースへのフル・アクセス権を持ちます。他のユーザーには、ロールに必要な権限を付与するカスタム・ポリシーが必要です。

ポリシー・文の例

DDFSリソース・タイプおよび権限に関するポリシー・ステートメントの例:

グループが、特定のコンパートメント内のすべてのDDFSインスタンスおよび作業リクエストを管理できるようにします。

allow group <group-name> to manage ddfs-instance-family in compartment <compartment-name>

グループが特定のコンパートメント内のDDFSインスタンスを管理できるようにします。

allow group <group-name> to manage ddfs-instance in compartment <compartment-name>

グループが特定のコンパートメント内のDDFS作業リクエストを管理できるようにします。

allow group <group-name> to manage ddfs-work-request in compartment <compartment-name>

グループが特定のコンパートメント内のDDFSインスタンスをリストできるようにします。

allow group <group-name> to inspect ddfs-instance in compartment <compartment-name>

グループが特定のコンパートメント内のDDFSインスタンスを更新できるようにします。

allow group <group-name> to use ddfs-instance in compartment <compartment-name>

グループが特定のコンパートメント内のDDFSインスタンスをリストおよび取得できるようにします。

allow group <group-name> to read ddfs-instance in compartment <compartment-name>

グループが特定のコンパートメントにDDFSインスタンスを作成できるようにします。

allow group <group-name> to {DDFS_INSTANCE_CREATE} in compartment <compartment-name>

グループは、特定のコンパートメント内のDDFSインスタンスを作成、更新、移動および削除できます。

allow group <group-name> to {DDFS_INSTANCE_CREATE,DDFS_INSTANCE_UPDATE,DDFS_INSTANCE_MOVE,DDFS_INSTANCE_DELETE} in compartment <compartment-name>

グループは、DDFSインスタンスをソース・コンパートメントから同じテナンシの宛先コンパートメントに移動できます。DDFSは、両方のコンパートメントのDDFS_INSTANCE_MOVEをチェックします。

allow group <group-name> to {DDFS_INSTANCE_MOVE} in compartment <source-compartment-name>
allow group <group-name> to {DDFS_INSTANCE_MOVE} in compartment <destination-compartment-name>

これらの文は、リストされたインスタンス権限のみを付与します。検査または読取り権限は付与されず、作業リクエストへのアクセス権も付与されません。ユーザーがインスタンスをリストまたは取得したり、操作を監視する必要がある場合に、これらの権限を個別に付与します。

サブスクリプション認可シークレットへのDDFSアクセス権の付与

この顧客管理OCI IAMポリシーは、1つのDDFSインスタンス・リソース・プリンシパルに、RESTフック通知認可用の1つのOCI Vaultシークレットを読み取る権限を付与します。FHIRサブスクリプション・リソースを作成または管理するためのユーザーまたはクライアント・アプリケーション権限を付与しません。

シークレットを含むコンパートメントにポリシー・ステートメントのスコープを設定します。このコンパートメントは、DDFSインスタンスを含むコンパートメントとは異なる場合があります。インスタンスが読み取る必要があるシークレットごとに個別のステートメントを使用します。

Allow any-user to {SECRET_BUNDLE_READ} in compartment <secret-compartment>
where all {request.principal.id = '<ddfs-instance-ocid>', request.principal.type = 'ddfsinstance', target.secret.id = '<secret-ocid>'}

any-userサブジェクトは、where all条件によって、指定されたDDFSインスタンス・プリンシパルおよびシークレットに制限されます。

拡張の定義および例は、FHIR R6 Subscription OCI Vault Secret Extensionを参照してください。完全な通知シーケンスについては、FHIR R6 Subscription Workflowを参照してください。

リソース・タイプ

DDFSには、ポリシーを記述するために集約リソース・タイプの両方と個別リソース・タイプの両方があります。

集約リソース・タイプを使用すると、より少ない、より広範なポリシーを作成できます。たとえば、グループがDDFSインスタンスおよび作業リクエストを管理できるように個別のポリシーを記述するかわりに、集約リソース・タイプddfs-instance-familyへのアクセス権を付与する単一のポリシーを記述できます。

集約リソース・タイプ

• ddfs-instance-family: ddfs-instanceおよびddfs-work-requestの権限が含まれます。

個々のリソース・タイプ

個々のリソース・タイプ・ポリシーを使用して、ユーザーが特定のDDFSリソースを操作できるようにします。

• ddfs-instance
• ddfs-work-request

サポートされている変数

ポリシーに条件を追加するには、OCIの一般変数を使用します。

DDFSでは、リソースとともに使用するためにすべてのリクエストの一般的な変数がサポートされます。

DDFSは、サービス固有の変数を定義しません。

動詞とリソース・タイプの組合せの詳細

OCIポリシー構文は、次のパターンに従います。

allow <subject> to <verb> <resource-type> in <location> [where <conditions>]

次に、DDFSの各動詞に対応する権限およびAPI操作について説明します。アクセスのレベルは、inspectからread、use、manageの順に累積します。

ddfs-instance-family

指定されたグループが、指定されたコンパートメント内のすべてのDDFSインスタンスおよび作業リクエスト・リソースを管理できるようにします。

allow group <group-name> to manage ddfs-instance-family in compartment <compartment-name>

この集約リソース・タイプには、次のメンバー・リソース・タイプが含まれます。

• ddfs-instance
• ddfs-work-request

ddfs-instance-familyによって付与される権限は、これらのメンバー・リソース・タイプ全体で累積されます。

ddfs-instance

指定されたグループが、指定されたコンパートメント内のすべてのDDFSインスタンス・リソースを管理できるようにします。

allow group <group-name> to manage ddfs-instance in compartment <compartment-name>

ddfs-work- リクエスト

指定されたグループが、指定されたコンパートメント内のすべてのDDFS作業リクエスト・リソースを管理できるようにします。

allow group <group-name> to manage ddfs-work-request in compartment <compartment-name>

各コントロール・プレーンAPI操作に必要な権限

次の表に、デバイス・データFHIRサービス・コントロール・プレーンAPI操作をアルファベット順にリストします。

OCI権限の詳細は、権限に関する項を参照してください。