アイデンティティベースのポリシーリソースベースのポリシーポリシーアクションポリシーリソースポリシー条件キー ACL RBAC ABAC 一時的な認証情報プリンシパルアクセス権限サービスロールサービスリンクロール

AWS HealthImaging が IAM で機能する仕組み

IAM を使用して HealthImaging へのアクセスを管理する前に、HealthImaging で利用できる IAM の機能について学びます。

AWS HealthImaging で使用できる IAM の機能
IAM の機能	HealthImaging サポート
アイデンティティベースのポリシー	あり
リソースベースのポリシー	なし
ポリシーアクション	あり
ポリシーリソース	はい
ポリシー条件キー (サービス固有)	はい
ACL	なし
ABAC (ポリシー内のタグ)	部分的
一時的な認証情報	あり
プリンシパルアクセス権限	あり
サービスロール	あり
サービスリンクロール	いいえ

HealthImaging およびその他の AWS のサービスがほとんどの IAM 機能と連携する方法の概要については、IAM ユーザーガイドのAWS 「IAM と連携するのサービス」を参照してください。

HealthImaging のアイデンティティベースのポリシー

アイデンティティベースのポリシーのサポート: あり

アイデンティティベースポリシーは、IAM ユーザー、ユーザーグループ、ロールなど、アイデンティティにアタッチできる JSON 許可ポリシードキュメントです。これらのポリシーは、ユーザーとロールが実行できるアクション、リソース、および条件をコントロールします。アイデンティティベースポリシーの作成方法については、「IAM ユーザーガイド」の「カスタマー管理ポリシーでカスタム IAM アクセス許可を定義する」を参照してください。

IAM アイデンティティベースのポリシーでは、許可または拒否するアクションとリソース、およびアクションを許可または拒否する条件を指定できます。JSON ポリシーで使用できるすべての要素について学ぶには、「IAM ユーザーガイド」の「IAM JSON ポリシーの要素のリファレンス」を参照してください。

HealthImaging のアイデンティティベースのポリシーの例

HealthImaging でのアイデンティティベースのポリシーの例は、「AWS HealthImaging のアイデンティティベースのポリシーの例」を参照してください。

HealthImaging 内のリソースベースのポリシー

リソースベースのポリシーのサポート: なし

リソースベースのポリシーは、リソースに添付する JSON ポリシードキュメントです。リソースベースのポリシーには例として、IAM ロールの信頼ポリシーや Amazon S3 バケットポリシーがあげられます。リソースベースのポリシーをサポートするサービスでは、サービス管理者はポリシーを使用して特定のリソースへのアクセスを制御できます。ポリシーがアタッチされているリソースの場合、指定されたプリンシパルがそのリソースに対して実行できるアクションと条件は、ポリシーによって定義されます。リソースベースのポリシーで、プリンシパルを指定する必要があります。プリンシパルには、アカウント、ユーザー、ロール、フェデレーティッドユーザー、またはを含めることができます AWS のサービス。

クロスアカウントアクセスを有効にするには、全体のアカウント、または別のアカウントの IAM エンティティを、リソースベースのポリシーのプリンシパルとして指定します。詳細については、IAM ユーザーガイドのIAM でのクロスアカウントリソースアクセスを参照してください。

HealthImaging のポリシーアクション

ポリシーアクションのサポート:あり

管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

JSON ポリシーの Action 要素にはポリシー内のアクセスを許可または拒否するために使用できるアクションが記述されます。このアクションは関連付けられたオペレーションを実行するためのアクセス許可を付与するポリシーで使用されます。

HealthImaging アクションのリストを確認するには、「サービス認可リファレンス」の「AWS HealthImaging で定義されるアクション」を参照してください。

HealthImaging のポリシーアクションは、アクションの前に以下のプレフィックスを使用します。

AWS

単一のステートメントで複数のアクションを指定するには、アクションをカンマで区切ります。


"Action": [
      "AWS:action1",
      "AWS:action2"
         ]

HealthImaging でのアイデンティティベースのポリシーの例は、「AWS HealthImaging のアイデンティティベースのポリシーの例」を参照してください。

HealthImaging のポリシーリソース

ポリシーリソースのサポート: あり

管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

Resource JSON ポリシー要素はアクションが適用されるオブジェクトを指定します。ベストプラクティスとして、Amazon リソースネーム (ARN) を使用してリソースを指定します。リソースレベルのアクセス許可をサポートしないアクションの場合は、ステートメントがすべてのリソースに適用されることを示すために、ワイルドカード (*) を使用します。


"Resource": "*"

HealthImaging リソースのタイプとその ARN のリストを確認するには、「サービス認可リファレンス」の「AWS HealthImaging で定義されるリソースタイプ」を参照してください。どのアクションとリソースで ARN を使用できるかについては、「AWS HealthImaging で定義されるアクション」を参照してください。

HealthImaging でのアイデンティティベースのポリシーの例は、「AWS HealthImaging のアイデンティティベースのポリシーの例」を参照してください。

HealthImaging の条件キー

サービス固有のポリシー条件キーのサポート: あり

Condition 要素は、定義された基準に基づいてステートメントを実行するタイミングを指定します。イコールや未満などの条件演算子を使用して条件式を作成し、ポリシーの条件とリクエスト内の値を一致させることができます。すべての AWS グローバル条件キーを確認するには、IAM ユーザーガイドのAWS 「グローバル条件コンテキストキー」を参照してください。

HealthImaging 条件キーのリストを確認するには、「サービス認可リファレンス」の「AWS HealthImaging の条件キー」を参照してください。どのアクションとリソースで条件キーを使用できるかについては、「AWS HealthImaging で定義されるアクション」を参照してください。

HealthImaging でのアイデンティティベースのポリシーの例は、「AWS HealthImaging のアイデンティティベースのポリシーの例」を参照してください。

HealthImaging の ACL

ACL のサポート: なし

アクセスコントロールリスト (ACL) は、どのプリンシパル (アカウントメンバー、ユーザー、またはロール) がリソースにアクセスするためのアクセス許可を持つかを制御します。ACL はリソースベースのポリシーに似ていますが、JSON ポリシードキュメント形式は使用しません。

HealthImaging での RBAC

RBAC のサポート

はい

IAM で使用される従来の認可モデルは、ロールベースのアクセスコントロール (RBAC) と呼ばれます。RBAC は、 AWS の外部でロールとして知られる、ユーザーの職務機能に基づいてアクセス許可を定義します。詳細については、「IAM ユーザーガイド」の「ABAC と従来の RBAC モデルの比較」を参照してください。

HealthImaging での ABAC

ABAC (ポリシー内のタグ) のサポート: 一部

警告

ABAC は SearchImageSets API アクション経由では適用されません。SearchImageSets アクションにアクセスできるユーザーであれば、データストア内の画像セットのすべてのメタデータにアクセスできます。

注記

画像セットはデータストアの子リソースです。ABAC を使用するには、画像セットにデータストアと同じタグが必要です。詳細については、AWS HealthImagingによるリソースのタグ付けを参照してください。

属性ベースのアクセス制御 (ABAC) は、タグと呼ばれる属性に基づいてアクセス許可を定義する認可戦略です。IAM エンティティと AWS リソースにタグをアタッチし、プリンシパルのタグがリソースのタグと一致するときにオペレーションを許可するように ABAC ポリシーを設計できます。

タグに基づいてアクセスを管理するには、aws:ResourceTag/key-name、aws:RequestTag/key-name、または aws:TagKeys の条件キーを使用して、ポリシーの条件要素でタグ情報を提供します。

サービスがすべてのリソースタイプに対して 3 つの条件キーすべてをサポートする場合、そのサービスの値はありです。サービスが一部のリソースタイプに対してのみ 3 つの条件キーのすべてをサポートする場合、値は「部分的」になります。

ABAC の詳細については、「IAM ユーザーガイド」の「ABAC 認可でアクセス許可を定義する」を参照してください。ABAC をセットアップする手順を説明するチュートリアルについては、「IAM ユーザーガイド」の「属性ベースのアクセス制御 (ABAC) を使用する」を参照してください。

HealthImaging での一時的な認証情報の使用

一時的な認証情報のサポート: あり

一時的な認証情報は AWS 、リソースへの短期的なアクセスを提供し、フェデレーションまたはスイッチロールの使用時に自動的に作成されます。長期的なアクセスキーを使用する代わりに、一時的な認証情報を動的に生成 AWS することをお勧めします。詳細については、「IAM ユーザーガイド」の「IAM の一時的なセキュリティ認証情報」と「IAM と連携するAWS のサービス」を参照してください。

HealthImaging のクロスサービスプリンシパル許可

転送アクセスセッション (FAS) のサポート: あり

IAM ユーザーまたはロールを使用してでアクションを実行すると AWS、プリンシパルと見なされます。ポリシーによって、プリンシパルに許可が付与されます。一部のサービスを使用する際に、アクションを実行することで、別サービスの別アクションがトリガーされることがあります。この場合、両方のアクションを実行するためのアクセス許可が必要です。アクションがポリシーで追加の依存アクションを必要とするかどうかを確認するには、「サービス認可リファレンス」の「AWS HealthImaging のアクション、リソース、および条件キー」を参照してください。

HealthImaging のサービスロール

サービスロールのサポート: あり

サービスロールとは、サービスがユーザーに代わってアクションを実行するために引き受ける IAM ロールです。IAM 管理者は、IAM 内からサービスロールを作成、変更、削除できます。詳細については、IAM ユーザーガイドの AWS のサービスに許可を委任するロールを作成するを参照してください。

警告

サービスロールのアクセス許可を変更すると、HealthImaging の機能が阻害される可能性があります。HealthImaging が指示する場合以外は、サービスロールを編集しないでください。

HealthImaging のサービスにリンクされたロール

サービスにリンクされたロールのサポート: なし

サービスにリンクされたロールは、にリンクされたサービスロールの一種です AWS のサービス。サービスは、ユーザーに代わってアクションを実行するロールを引き受けることができます。サービスにリンクされたロールはに表示され AWS アカウント、サービスによって所有されます。IAM 管理者は、サービスにリンクされたロールのアクセス許可を表示できますが、編集することはできません。

サービスにリンクされたロールの作成または管理の詳細については、「IAM と提携するAWS のサービス」を参照してください。表の「サービスリンクロール」列に Yes と記載されたサービスを見つけます。サービスにリンクされたロールに関するドキュメントをサービスで表示するには、[はい] リンクを選択します。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

アイデンティティとアクセス管理

アイデンティティベースのポリシーの例