Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Esempi di policy basate sull'identità per AWS HealthImaging

Per impostazione predefinita, gli utenti e i ruoli non dispongono dell'autorizzazione per creare o modificare risorse HealthImaging. Per concedere agli utenti l’autorizzazione a eseguire azioni sulle risorse di cui hanno bisogno, un amministratore IAM può creare policy IAM.

Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta Creazione di policy IAM (console) nella Guida per l’utente di IAM.

Per dettagli sulle azioni e sui tipi di risorse definiti da Awesome, incluso il formato di ARNs per ogni tipo di risorsa, consulta Actions, Resources and Condition Keys for AWS Awesome nel Service Authorization Reference.

Best practice per le policy

Le politiche basate sull'identità determinano se qualcuno può creare, accedere o eliminare HealthImaging risorse nel tuo account. Queste azioni possono comportare costi aggiuntivi per l’ Account AWS. Quando si creano o modificano policy basate sull’identità, seguire queste linee guida e raccomandazioni:

Per maggiori informazioni sulle best practice in IAM, consulta Best practice di sicurezza in IAM nella Guida per l’utente di IAM.

Utilizzo della console HealthImaging

Per accedere alla HealthImaging console AWS, devi disporre di un set minimo di autorizzazioni. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle HealthImaging risorse del tuo. Account AWS Se crei una policy basata sull’identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (utenti o ruoli) associate a tale policy.

Non è necessario consentire autorizzazioni minime per la console agli utenti che effettuano chiamate solo verso AWS CLI o l' AWS API. Al contrario, è opportuno concedere l’accesso solo alle azioni che corrispondono all’operazione API che stanno cercando di eseguire.

Per garantire che utenti e ruoli possano ancora utilizzare la HealthImaging console, allega anche la policy HealthImaging ConsoleAccess o la policy ReadOnly AWS gestita alle entità. Per maggiori informazioni, consulta Aggiunta di autorizzazioni a un utente nella Guida per l’utente di IAM.

Consentire agli utenti di visualizzare le loro autorizzazioni

Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono collegate alla relativa identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando l'API o a livello di codice. AWS CLI AWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Concessione di autorizzazioni basate su Study Instance UID e Series Instance UID

HealthImaging DICOMWeb APIs supporta la concessione dell'accesso ai set di immagini basati su Study Instance UID e Series Instance UID. È possibile definire politiche IAM che limitano l'accesso aggiungendo istruzioni di condizione con le chiavi di contesto StudyInstanceUID e SeriesInstanceUID condition.

HealthImaging DICOMWeb APIs che utilizzano StudyInstanceUID come parametro richiesto supportano le politiche IAM che limitano l'accesso in base alla StudyInstanceUID chiave. Allo stesso modo, HealthImaging DICOMWeb APIs tale utilizzo SeriesInstanceUID come parametro obbligatorio supporta le politiche con la SeriesInstanceUID chiave.

HealthImaging APIs che supportano le politiche IAM utilizzando StudyInstanceUID chiavi SeriesInstanceUID contestuali

Esempio 1: concessione dell'accesso in base a un UID StudyInstance

Per concedere l'accesso solo a studi DICOM specifici, allega al ruolo una policy che specifichi una condizione su. StudyInstanceUID

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "medical-imaging:SearchDICOMSeries"
            ],
            "Resource": [
                "arn:aws:medical-imaging:us-west-2:account-id:datastore/your-datastore-id"
            ],
            "Condition": {
                "StringEquals": {
                    "medical-imaging:StudyInstanceUID": "your study instance UID"
                }
            }
        }
    ]
}

Quando questo ruolo viene assunto tramitests assume-role, il chiamante sarà autorizzato ad accedere solo ai set di immagini che corrispondono alla condizione specificata nella politica del ruolo, altrimenti le chiamate verranno rifiutate generando un errore. AccessDenied In questo caso, al chiamante verrà concesso l'accesso a tutti i set di immagini con i dati specificati. StudyInstanceUID

Puoi utilizzare tutti gli operatori di condizione delle stringhe IAM nelle tue policy, tra cui la corrispondenza con caratteri jolly e le corrispondenze multiple.

Un esempio di politica per la corrispondenza dei caratteri jolly:

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "medical-imaging:SearchDICOMSeries"
            ],
            "Resource": [
                "arn:aws:medical-imaging:us-west-2:account-id:datastore/your-datastore-id"
            ],
            "Condition": {
                "StringLike": {
                    "medical-imaging:StudyInstanceUID": "123.456.789*"
                }
            }
        }
    ]
}

Un esempio di politica per più partite:

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "medical-imaging:SearchDICOMSeries"
            ],
            "Resource": [
                "arn:aws:medical-imaging:us-west-2:account-id:datastore/your-datastore-id"
            ],
            "Condition": {
                "StringEquals": {
                    "medical-imaging:StudyInstanceUID": [
                        "123.456.789",
                        "1.2.3.4.5.6"
                    ]
                }
            }
        }
    ]
}

Esempio 2: concessione dell'accesso in base a un SeriesInstance UID

Per concedere l'accesso solo a set di immagini specifici corrispondenti a una serie DICOM, allega una policy al ruolo che specifichi una condizione su. SeriesInstanceUID

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "medical-imaging:SearchDICOMInstances"
            ],
            "Resource": [
                "arn:aws:medical-imaging:us-west-2:account-id:datastore/your-datastore-id"
            ],
            "Condition": {
                "StringEquals": {
                    "medical-imaging:SeriesInstanceUID": [
                        "123.456.789",
                        "1.2.3.4.5.6"
                    ]
                }
            }
        }
    ]
}

Esempio 3: Concessione dell'accesso basato su e StudyInstance UIDs SeriesInstance UIDs

Per concedere l'accesso solo ai set di immagini di uno studio e di una serie DICOM specifici, allegate al ruolo una policy che specifichi le condizioni sia per lo studio che per la serie. StudyInstanceUID SeriesInstanceUID

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "medical-imaging:SearchDICOMInstances"
            ],
            "Resource": [
                "arn:aws:medical-imaging:us-west-2:account-id:datastore/your-datastore-id"
            ],
            "Condition": {
                "StringEquals": {
                    "medical-imaging:StudyInstanceUID": ["123.456.789"],
                    "medical-imaging:SeriesInstanceUID": ["1.2.3.4.5.6"]
                }
            }
        }
    ]
}