Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Esempi di policy basate sull'identità per AWS HealthImaging
Per impostazione predefinita, gli utenti e i ruoli non dispongono dell'autorizzazione per creare o modificare risorse HealthImaging. Per concedere agli utenti l’autorizzazione a eseguire azioni sulle risorse di cui hanno bisogno, un amministratore IAM può creare policy IAM.
Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta [Creazione di policy IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) nella *Guida per l’utente di IAM*.
Per dettagli sulle azioni e sui tipi di risorse definiti da Awesome, incluso il formato di ARNs per ogni tipo di risorsa, consulta [Actions, Resources and Condition Keys for AWS Awesome](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awskeymanagementservice.html) nel *Service* Authorization Reference.
**Topics**
+ [Best practice per le policy](#security_iam_service-with-iam-policy-best-practices)
+ [Utilizzo della console HealthImaging](#security_iam_id-based-policy-examples-console)
+ [Consentire agli utenti di visualizzare le loro autorizzazioni](#security_iam_id-based-policy-examples-view-own-permissions)
+ [Concessione di autorizzazioni basate su Study Instance UID e Series Instance UID](#security_iam_id-based-policy-examples-study-series-uid)
## Best practice per le policy
Le politiche basate sull'identità determinano se qualcuno può creare, accedere o eliminare HealthImaging risorse nel tuo account. Queste azioni possono comportare costi aggiuntivi per l’ Account AWS. Quando si creano o modificano policy basate sull’identità, seguire queste linee guida e raccomandazioni:
+ **Inizia con le policy AWS gestite e passa alle autorizzazioni con privilegi minimi: per iniziare a concedere autorizzazioni** *a utenti e carichi di lavoro, utilizza le politiche gestite che concedono le autorizzazioni per molti casi d'uso comuni.AWS * Sono disponibili nel tuo. Account AWS Ti consigliamo di ridurre ulteriormente le autorizzazioni definendo politiche gestite dai AWS clienti specifiche per i tuoi casi d'uso. Per maggiori informazioni, consulta [Policy gestite da AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) o [Policy gestite da AWS per le funzioni dei processi](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) nella *Guida per l’utente di IAM*.
+ **Applicazione delle autorizzazioni con privilegio minimo** - Quando si impostano le autorizzazioni con le policy IAM, concedere solo le autorizzazioni richieste per eseguire un’attività. È possibile farlo definendo le azioni che possono essere intraprese su risorse specifiche in condizioni specifiche, note anche come *autorizzazioni con privilegio minimo*. Per maggiori informazioni sull’utilizzo di IAM per applicare le autorizzazioni, consulta [Policy e autorizzazioni in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) nella *Guida per l’utente di IAM*.
+ **Condizioni d’uso nelle policy IAM per limitare ulteriormente l’accesso** - Per limitare l’accesso ad azioni e risorse è possibile aggiungere una condizione alle policy. Ad esempio, è possibile scrivere una condizione di policy per specificare che tutte le richieste devono essere inviate utilizzando SSL. Puoi anche utilizzare le condizioni per concedere l'accesso alle azioni del servizio se vengono utilizzate tramite uno specifico Servizio AWS, ad esempio CloudFormation. Per maggiori informazioni, consultare la sezione [Elementi delle policy JSON di IAM: condizione](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) nella *Guida per l’utente di IAM*.
+ **Utilizzo dello strumento di analisi degli accessi IAM per convalidare le policy IAM e garantire autorizzazioni sicure e funzionali** - Lo strumento di analisi degli accessi IAM convalida le policy nuove ed esistenti in modo che aderiscano al linguaggio (JSON) della policy IAM e alle best practice di IAM. Lo strumento di analisi degli accessi IAM offre oltre 100 controlli delle policy e consigli utili per creare policy sicure e funzionali. Per maggiori informazioni, consultare [Convalida delle policy per il Sistema di analisi degli accessi IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) nella *Guida per l’utente di IAM*.
+ **Richiedi l'autenticazione a più fattori (MFA**): se hai uno scenario che richiede utenti IAM o un utente root nel Account AWS tuo, attiva l'MFA per una maggiore sicurezza. Per richiedere la MFA quando vengono chiamate le operazioni API, aggiungere le condizioni MFA alle policy. Per maggiori informazioni, consultare [Protezione dell’accesso API con MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) nella *Guida per l’utente di IAM*.
Per maggiori informazioni sulle best practice in IAM, consulta [Best practice di sicurezza in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) nella *Guida per l’utente di IAM*.
## Utilizzo della console HealthImaging
Per accedere alla HealthImaging console AWS, devi disporre di un set minimo di autorizzazioni. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle HealthImaging risorse del tuo. Account AWS Se crei una policy basata sull’identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (utenti o ruoli) associate a tale policy.
Non è necessario consentire autorizzazioni minime per la console agli utenti che effettuano chiamate solo verso AWS CLI o l' AWS API. Al contrario, è opportuno concedere l’accesso solo alle azioni che corrispondono all’operazione API che stanno cercando di eseguire.
Per garantire che utenti e ruoli possano ancora utilizzare la HealthImaging console, allega anche la policy HealthImaging `{{ConsoleAccess}}` o la policy `{{ReadOnly}}` AWS gestita alle entità. Per maggiori informazioni, consulta [Aggiunta di autorizzazioni a un utente](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) nella *Guida per l’utente di IAM*.
## Consentire agli utenti di visualizzare le loro autorizzazioni
Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono collegate alla relativa identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando l'API o a livello di codice. AWS CLI AWS
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## Concessione di autorizzazioni basate su Study Instance UID e Series Instance UID
HealthImaging DICOMWeb APIs supporta la concessione dell'accesso ai set di immagini basati su Study Instance UID e Series Instance UID. È possibile definire politiche IAM che limitano l'accesso aggiungendo istruzioni di condizione con le chiavi di contesto `StudyInstanceUID` e `SeriesInstanceUID` condition.
HealthImaging DICOMWeb APIs che utilizzano `StudyInstanceUID` come parametro richiesto supportano le politiche IAM che limitano l'accesso in base alla `StudyInstanceUID` chiave. Allo stesso modo, HealthImaging DICOMWeb APIs tale utilizzo `SeriesInstanceUID` come parametro obbligatorio supporta le politiche con la `SeriesInstanceUID` chiave.
**HealthImaging APIs che supportano le politiche IAM utilizzando `StudyInstanceUID` chiavi `SeriesInstanceUID` contestuali**
| Nome | Support per la `StudyInstanceUID` condizione | Support per la `SeriesInstanceUID` condizione |
| --- | --- | --- |
| GetDICOMInstance | Sì | Sì |
| GetDICOMInstanceFrames | Sì | Sì |
| GetDICOMInstanceMetadata | Sì | Sì |
| GetDICOMSeriesMetadata | Sì | Sì |
| GetDICOMBulkdata | Sì | Sì |
| SearchDICOMSeries | Sì | No |
| SearchDICOMInstances | Sì | Sì |
| StoreDICOMStudy | Sì | No |
**Nota**
Un' HealthImaging API che non supporta questa chiave di contesto funzionerà come se non fosse stata specificata alcuna chiave di contesto quando viene richiamata con una politica che contiene una chiave di `SeriesInstanceUID` contesto `StudyInstanceUID` or.
### Esempio 1: concessione dell'accesso in base a un UID StudyInstance
Per concedere l'accesso solo a studi DICOM specifici, allega al ruolo una policy che specifichi una condizione su. `StudyInstanceUID`
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Statement1",
"Effect": "Allow",
"Action": [
"medical-imaging:SearchDICOMSeries"
],
"Resource": [
"arn:aws:medical-imaging:us-west-2:{{account-id}}:datastore/{{your-datastore-id}}"
],
"Condition": {
"StringEquals": {
"medical-imaging:StudyInstanceUID": "{{your study instance UID}}"
}
}
}
]
}
```
Quando questo ruolo viene assunto tramite`sts assume-role`, il chiamante sarà autorizzato ad accedere solo ai set di immagini che corrispondono alla condizione specificata nella politica del ruolo, altrimenti le chiamate verranno rifiutate generando un errore. `AccessDenied` In questo caso, al chiamante verrà concesso l'accesso a tutti i set di immagini con i dati specificati. `StudyInstanceUID`
Puoi utilizzare tutti gli operatori di condizione delle stringhe IAM nelle tue policy, tra cui la corrispondenza con caratteri jolly e le corrispondenze multiple.
Un esempio di politica per la corrispondenza dei caratteri jolly:
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Statement1",
"Effect": "Allow",
"Action": [
"medical-imaging:SearchDICOMSeries"
],
"Resource": [
"arn:aws:medical-imaging:us-west-2:{{account-id}}:datastore/{{your-datastore-id}}"
],
"Condition": {
"StringLike": {
"medical-imaging:StudyInstanceUID": "123.456.789*"
}
}
}
]
}
```
Un esempio di politica per più partite:
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Statement1",
"Effect": "Allow",
"Action": [
"medical-imaging:SearchDICOMSeries"
],
"Resource": [
"arn:aws:medical-imaging:us-west-2:{{account-id}}:datastore/{{your-datastore-id}}"
],
"Condition": {
"StringEquals": {
"medical-imaging:StudyInstanceUID": [
"123.456.789",
"1.2.3.4.5.6"
]
}
}
}
]
}
```
### Esempio 2: concessione dell'accesso in base a un SeriesInstance UID
Per concedere l'accesso solo a set di immagini specifici corrispondenti a una serie DICOM, allega una policy al ruolo che specifichi una condizione su. `SeriesInstanceUID`
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Statement1",
"Effect": "Allow",
"Action": [
"medical-imaging:SearchDICOMInstances"
],
"Resource": [
"arn:aws:medical-imaging:us-west-2:{{account-id}}:datastore/{{your-datastore-id}}"
],
"Condition": {
"StringEquals": {
"medical-imaging:SeriesInstanceUID": [
"123.456.789",
"1.2.3.4.5.6"
]
}
}
}
]
}
```
### Esempio 3: Concessione dell'accesso basato su e StudyInstance UIDs SeriesInstance UIDs
Per concedere l'accesso solo ai set di immagini di uno studio e di una serie DICOM specifici, allegate al ruolo una policy che specifichi le condizioni sia per lo studio che per la serie. `StudyInstanceUID` `SeriesInstanceUID`
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Statement1",
"Effect": "Allow",
"Action": [
"medical-imaging:SearchDICOMInstances"
],
"Resource": [
"arn:aws:medical-imaging:us-west-2:{{account-id}}:datastore/{{your-datastore-id}}"
],
"Condition": {
"StringEquals": {
"medical-imaging:StudyInstanceUID": ["123.456.789"],
"medical-imaging:SeriesInstanceUID": ["1.2.3.4.5.6"]
}
}
}
]
}
```