Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Exemples de politiques basées sur l'identité pour AWS HealthImaging

Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou modifier les ressources HealthImaging. Pour octroyer aux utilisateurs des autorisations d’effectuer des actions sur les ressources dont ils ont besoin, un administrateur IAM peut créer des politiques IAM.

Pour apprendre à créer une politique basée sur l’identité IAM à l’aide de ces exemples de documents de politique JSON, consultez Création de politiques IAM (console) dans le Guide de l’utilisateur IAM.

Pour plus de détails sur les actions et les types de ressources définis par Awesome, y compris le ARNs format de chaque type de ressource, voir Actions, ressources et clés de condition pour AWS Awesome dans la référence d'autorisation de service.

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer HealthImaging des ressources dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.

Utilisation de la HealthImaging console

Pour accéder à la HealthImaging console AWS, vous devez disposer d'un ensemble minimal d'autorisations. Ces autorisations doivent vous permettre de répertorier et d'afficher les détails HealthImaging des ressources de votre Compte AWS. Si vous créez une politique basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette politique.

Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement l'API AWS CLI ou l' AWS API. Autorisez plutôt l’accès à uniquement aux actions qui correspondent à l’opération d’API qu’ils tentent d’effectuer.

Pour garantir que les utilisateurs et les rôles peuvent toujours utiliser la HealthImaging console, associez également la politique HealthImaging ConsoleAccess ou la politique ReadOnly AWS gérée aux entités. Pour plus d’informations, consultez Ajout d’autorisations à un utilisateur dans le Guide de l’utilisateur IAM.

Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Octroi d'autorisations en fonction de l'UID de l'instance d'étude et de l'UID de l'instance de série

HealthImaging DICOMWeb APIs prise en charge de l'accès aux ensembles d'images en fonction de l'UID de l'instance d'étude et de l'UID de l'instance de série. Vous pouvez définir des politiques IAM qui limitent l'accès en ajoutant des instructions de condition avec les clés de contexte StudyInstanceUID et de SeriesInstanceUID condition.

HealthImaging DICOMWeb APIs qui utilisent StudyInstanceUID comme paramètre obligatoire les politiques IAM qui limitent l'accès en fonction de la StudyInstanceUID clé. De même, HealthImaging DICOMWeb APIs cette utilisation SeriesInstanceUID comme paramètre obligatoire prend en charge les politiques avec la SeriesInstanceUID clé.

HealthImaging APIs qui prennent en charge les politiques IAM à l'aide StudyInstanceUID de clés SeriesInstanceUID contextuelles

Exemple 1 : Octroi d'accès sur la base d'un StudyInstance UID

Pour autoriser l'accès uniquement à des études DICOM spécifiques, associez une politique au rôle qui spécifie une condition sur leStudyInstanceUID.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "medical-imaging:SearchDICOMSeries"
            ],
            "Resource": [
                "arn:aws:medical-imaging:us-west-2:account-id:datastore/your-datastore-id"
            ],
            "Condition": {
                "StringEquals": {
                    "medical-imaging:StudyInstanceUID": "your study instance UID"
                }
            }
        }
    ]
}

Lorsque ce rôle est assumé viasts assume-role, l'appelant ne sera autorisé à accéder qu'aux ensembles d'images correspondant à la condition spécifiée dans la politique de rôle, sinon les appels seront rejetés et provoqueront une AccessDenied erreur. Dans ce cas, l'appelant aura accès à tous les ensembles d'images ayant la valeur spécifiéeStudyInstanceUID.

Vous pouvez utiliser tous les opérateurs de condition de chaîne IAM dans vos politiques, y compris les correspondances génériques et les correspondances multiples.

Exemple de politique pour la mise en correspondance des caractères génériques :

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "medical-imaging:SearchDICOMSeries"
            ],
            "Resource": [
                "arn:aws:medical-imaging:us-west-2:account-id:datastore/your-datastore-id"
            ],
            "Condition": {
                "StringLike": {
                    "medical-imaging:StudyInstanceUID": "123.456.789*"
                }
            }
        }
    ]
}

Exemple de politique pour les correspondances multiples :

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "medical-imaging:SearchDICOMSeries"
            ],
            "Resource": [
                "arn:aws:medical-imaging:us-west-2:account-id:datastore/your-datastore-id"
            ],
            "Condition": {
                "StringEquals": {
                    "medical-imaging:StudyInstanceUID": [
                        "123.456.789",
                        "1.2.3.4.5.6"
                    ]
                }
            }
        }
    ]
}

Exemple 2 : Octroi d'accès sur la base d'un SeriesInstance UID

Pour autoriser l'accès uniquement à des ensembles d'images spécifiques correspondant à une série DICOM, associez une politique au rôle qui spécifie une condition sur leSeriesInstanceUID.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "medical-imaging:SearchDICOMInstances"
            ],
            "Resource": [
                "arn:aws:medical-imaging:us-west-2:account-id:datastore/your-datastore-id"
            ],
            "Condition": {
                "StringEquals": {
                    "medical-imaging:SeriesInstanceUID": [
                        "123.456.789",
                        "1.2.3.4.5.6"
                    ]
                }
            }
        }
    ]
}

Exemple 3 : Octroi d'un accès en fonction de StudyInstance UIDs et SeriesInstance UIDs

Pour autoriser l'accès uniquement aux ensembles d'images d'une étude et d'une série DICOM spécifiques, associez au rôle une politique qui spécifie les conditions à la fois sur le StudyInstanceUID etSeriesInstanceUID.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "medical-imaging:SearchDICOMInstances"
            ],
            "Resource": [
                "arn:aws:medical-imaging:us-west-2:account-id:datastore/your-datastore-id"
            ],
            "Condition": {
                "StringEquals": {
                    "medical-imaging:StudyInstanceUID": ["123.456.789"],
                    "medical-imaging:SeriesInstanceUID": ["1.2.3.4.5.6"]
                }
            }
        }
    ]
}