Detalhes do Serviço FHIR de Dados do Dispositivo

Visão Geral da Política

As permissões são gerenciadas por meio de políticas do OCI IAM. Se você não estiver familiarizado com políticas, consulte Como as Políticas do Serviço IAM Funcionam, Conceitos Básicos das Políticas e Referência de Política.

As políticas do OCI IAM podem autorizar os usuários a gerenciar recursos do plano de controle do DDFS e autorizar um controlador de recursos da instância do DDFS a acessar um recurso do OCI necessário, como um segredo do Vault. Eles não autorizam solicitações de plano de dados FHIR protegidas. As solicitações de recurso e operação FHIR protegidas exigem tokens de acesso OAuth dos Domínios de Identidade do OCI com escopos DDFS OAuth.

Políticas de Usuários

Essas políticas definem quem pode acessar recursos do DDFS e quais ações eles podem executar. Você deve ter as permissões apropriadas em uma política para criar, atualizar ou gerenciar recursos do DDFS, independentemente de usar a Console, a API REST, o SDK, a CLI ou outra interface.

A política deve conceder explicitamente acesso aos recursos do DDFS com os quais você pretende trabalhar. Se você encontrar uma mensagem não autorizada ou de permissão negada, entre em contato com o administrador para verificar suas permissões e os compartimentos disponíveis para você.

Por padrão, somente os membros do grupo Administrators têm acesso total aos recursos do DDFS. Outros usuários precisam de políticas personalizadas que concedam os direitos necessários para suas funções.

Exemplo de Instruções de Política

Exemplo de instruções de política para tipos de recursos e permissões do DDFS:

Permite que um grupo gerencie todas as instâncias e solicitações de serviço do DDFS em um compartimento específico.

allow group <group-name> to manage ddfs-instance-family in compartment <compartment-name>

Permite que um grupo gerencie instâncias do DDFS em um compartimento específico.

allow group <group-name> to manage ddfs-instance in compartment <compartment-name>

Permite que um grupo gerencie solicitações de serviço do DDFS em um compartimento específico.

allow group <group-name> to manage ddfs-work-request in compartment <compartment-name>

Permite que um grupo liste instâncias do DDFS em um compartimento específico.

allow group <group-name> to inspect ddfs-instance in compartment <compartment-name>

Permite que um grupo atualize instâncias do DDFS em um compartimento específico.

allow group <group-name> to use ddfs-instance in compartment <compartment-name>

Permite que um grupo liste e obtenha instâncias do DDFS em um compartimento específico.

allow group <group-name> to read ddfs-instance in compartment <compartment-name>

Permite que um grupo crie uma instância do DDFS em um compartimento específico.

allow group <group-name> to {DDFS_INSTANCE_CREATE} in compartment <compartment-name>

Permite que um grupo crie, atualize, mova e exclua instâncias do DDFS em um compartimento específico.

allow group <group-name> to {DDFS_INSTANCE_CREATE,DDFS_INSTANCE_UPDATE,DDFS_INSTANCE_MOVE,DDFS_INSTANCE_DELETE} in compartment <compartment-name>

Permite que um grupo mova instâncias do DDFS de um compartimento de origem para um compartimento de destino na mesma tenancy. O DDFS verifica DDFS_INSTANCE_MOVE nos dois compartimentos.

allow group <group-name> to {DDFS_INSTANCE_MOVE} in compartment <source-compartment-name>
allow group <group-name> to {DDFS_INSTANCE_MOVE} in compartment <destination-compartment-name>

Essas instruções concedem somente as permissões de instância listadas. Eles não concedem permissões de inspeção ou leitura e não concedem acesso a solicitações de serviço. Conceda essas permissões separadamente quando os usuários tiverem que listar ou obter instâncias ou monitorar operações.

Conceder Acesso ao DDFS a um Segredo de Autorização de Assinatura

Esta política do OCI IAM gerenciada pelo cliente concede a uma permissão de controlador de recursos da instância do DDFS para ler um segredo do OCI Vault para autorização de notificação do token REST. Ele não concede a um usuário ou aplicativo cliente permissão para criar ou gerenciar recursos de Assinatura FHIR.

Escopo da instrução de política para o compartimento que contém o segredo. Esse compartimento pode ser diferente do compartimento que contém a instância do DDFS. Use uma instrução separada para cada segredo que a instância deve ler.

Allow any-user to {SECRET_BUNDLE_READ} in compartment <secret-compartment>
where all {request.principal.id = '<ddfs-instance-ocid>', request.principal.type = 'ddfsinstance', target.secret.id = '<secret-ocid>'}

O assunto any-user é restrito pelas condições where all ao principal e ao segredo da instância do DDFS especificados.

Para a definição e o exemplo de extensão, consulte Extensão de Segredo do OCI Vault de Assinatura FHIR R6. Para obter a sequência completa de notificações, consulte Workflow de Assinatura FHIR R6.

Tipos de Recurso

O DDFS fornece tipos de recursos agregados e individuais para a criação de políticas.

Os tipos de recursos agregados permitem criar menos políticas mais amplas. Por exemplo, em vez de gravar políticas separadas para permitir que um grupo gerencie instâncias e solicitações de serviço do DDFS, você pode gravar uma única política que conceda acesso ao tipo de recurso agregado ddfs-instance-family.

Tipos de Recursos Agregados

• ddfs-instance-family: Inclui as permissões para ddfs-instance e ddfs-work-request.

Tipos de Recurso Individual

Use as políticas de tipo de recurso individuais para permitir que os usuários trabalhem com recursos específicos do DDFS.

• ddfs-instance
• ddfs-work-request

Variáveis Suportadas

Para adicionar condições às suas políticas, use variáveis gerais do OCI.

O DDFS suporta as Variáveis Gerais para Todas as Solicitações para uso com recursos.

O DDFS não define variáveis específicas do serviço.

Detalhes para Combinações de Verbo + Tipo de Recurso

A sintaxe da política do OCI segue este padrão:

allow <subject> to <verb> <resource-type> in <location> [where <conditions>]

As seções a seguir descrevem as permissões e operações de API abrangidas por cada verbo do DDFS. O nível de acesso é cumulativo conforme você vai de inspect a read a use a manage.

ddfs-instância-família

Permita que o grupo especificado gerencie todos os recursos de instância e solicitação de serviço do DDFS no compartimento especificado.

allow group <group-name> to manage ddfs-instance-family in compartment <compartment-name>

Este tipo de recurso agregado inclui os seguintes tipos de recurso de membro:

• ddfs-instance
• ddfs-work-request

As permissões concedidas pelo ddfs-instance-family são cumulativas entre esses tipos de recursos do membro.

ddfs-instância

Permita que o grupo especificado gerencie todos os recursos da instância do DDFS no compartimento especificado.

allow group <group-name> to manage ddfs-instance in compartment <compartment-name>

ddfs-obra-solicitação

Permita que o grupo especificado gerencie todos os recursos de solicitação de serviço do DDFS no compartimento especificado.

allow group <group-name> to manage ddfs-work-request in compartment <compartment-name>

Permissões Exigidas para Cada Operação de API do Plano de Controle

A tabela a seguir lista as operações de API do plano de controle de Serviço FHIR de Dados do Dispositivo em ordem alfabética.

Para obter mais informações sobre permissões do OCI, consulte Permissões.