Gestione delle autorizzazioni tra l'API Cloud Healthcare e altri prodotti Google Cloud

L'API Cloud Healthcare non ha accesso automatico ad altre risorseGoogle Cloud nel tuo progetto, come bucket Cloud Storage e set di dati BigQuery. Quando accede a queste risorse, l'API Cloud Healthcare utilizza un service agent denominato service agent Cloud Healthcare.

Per eseguire operazioni come la notifica degli argomenti Pub/Sub delle modifiche, l'importazione di dati dai bucket Cloud Storage, l'esportazione di dati nei set di dati BigQuery e così via, devi prima concedere all'account di servizio le autorizzazioni Identity and Access Management (IAM) necessarie per accedere alle risorse esterne all'API Cloud Healthcare. Questa pagina descrive le autorizzazioni richieste per varie operazioni e come concederle.

Per saperne di più sull'utilizzo di IAM per configurare le autorizzazioni all'interno dell'API Cloud Healthcare, consulta Controllo degli accessi.

Agente di servizio Cloud Healthcare

L'account di servizio agente di servizio Cloud Healthcare viene creato automaticamente dopo l'abilitazione dell'API Cloud Healthcare. Il nome del membro è service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com. Per trovare l'PROJECT_NUMBER per il tuo progetto Google Cloud , consulta Identificazione dei progetti.

Puoi visualizzare informazioni dettagliate sull'account di servizio Agente di servizio Cloud Healthcare, ad esempio i ruoli che gli sono stati concessi, nella pagina Identity and Access Management della consoleGoogle Cloud .

Per saperne di più sull'agente di servizio Cloud Healthcare e sulla sua interazione con i ruoli e le autorizzazioni di Identity and Access Management (IAM), consulta Controllo degli accessi.

Autorizzazioni CMEK per i set di dati

Puoi utilizzare una chiave di crittografia gestita dal cliente (CMEK) quando crei un set di dati dell'API Cloud Healthcare. Per consentire all'account di servizio agente di servizio Cloud Healthcare di criptare e decriptare gli oggetti utilizzando la chiave CMEK, concedi all'account di servizio il ruolo Autore crittografia/decrittografia CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter).

Autorizzazioni Pub/Sub per archivi DICOM, FHIR e HL7v2

Le modifiche all'interno degli archivi DICOM, FHIR e HL7v2 possono essere inviate a un argomento Pub/Sub. Per ulteriori informazioni, vedi Utilizzo di Cloud Pub/Sub per le notifiche.

I metodi all'interno di questi archivi richiedono autorizzazioni aggiuntive nell'account di servizio dell'agente di servizio Cloud Healthcare al fine di pubblicare le modifiche in un argomento Pub/Sub.

Utilizza la console Google Cloud o la gcloud CLI per aggiungere il ruolo pubsub.publisher all'account di servizio del progetto:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/pubsub.publisher

Configurare le autorizzazioni Pub/Sub tra progetti

Per pubblicare notifiche Pub/Sub in un argomento di un altro progetto, concedi all'account di servizio dell'agente di servizio Cloud Healthcare il ruolo pubsub.publisher nell'argomento. Per saperne di più, consulta Controllare l'accesso tramite la console Google Cloud e Controllare l'accesso tramite l'API IAM.

Per un esempio di pubblicazione di notifiche Pub/Sub tra progetti, consulta Scenario di esempio: comunicazione tra progetti.

Autorizzazioni Cloud Storage per gli archivi DICOM

I metodi projects.locations.datasets.dicomStores.import e projects.locations.datasets.dicomStores.export richiedono autorizzazioni aggiuntive per l'account di servizio dell'agente di servizio Cloud Healthcare al fine di importare ed esportare da e in Cloud Storage.

Importazione dei dati da Cloud Storage

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/storage.objectViewer 

Esportazione dei dati in Cloud Storage

Puoi utilizzare la console Google Cloud o gcloud CLI per aggiungere il ruolo obbligatorio storage.objectAdmin all'account di servizio del progetto:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/storage.objectAdmin

Autorizzazioni BigQuery per gli archivi DICOM

Il metodo projects.locations.datasets.dicomStores.export richiede autorizzazioni aggiuntive nell'account di servizio dell'agente di servizio Cloud Healthcare per esportare i metadati DICOM in BigQuery. Devi inoltre concedere l'accesso WRITER per il set di dati BigQuery all'account di servizio dell'agente di servizio Cloud Healthcare.

Concessione delle autorizzazioni al account di servizio dell'agente di servizio Cloud Healthcare

Puoi utilizzare la console Google Cloud o gcloud CLI per aggiungere i ruoli obbligatori bigquery.dataEditor e bigquery.jobUser all'account di servizio del progetto.

Concedere l'accesso a WRITER al set di dati BigQuery

1. Vai a Controllo dell'accesso a un set di dati.
2. Utilizza uno dei metodi disponibili per concedere all'indirizzo email dell'agente di servizio Cloud Healthcare l'accesso di tipo WRITER al set di dati BigQuery. Cerca l'indirizzo email che termina con @gcp-sa-healthcare.iam.gserviceaccount.com.

Ad esempio, se l'indirizzo email dell'agente di servizio Cloud Healthcare è service-000000000000@gcp-sa-healthcare.iam.gserviceaccount.com e se utilizzi l'interfaccia utente web di BigQuery, devi procedere come segue:

1. Segui le istruzioni di Console.
2. Nel campo Aggiungi entità, inserisci service-000000000000@gcp-sa-healthcare.iam.gserviceaccount.com e seleziona il ruolo bigquery.dataEditor.

Esportazione dei metadati DICOM in più Google Cloud progetti

Per esportare i metadati DICOM da un archivio DICOM in un progetto a una tabella BigQuery in un progetto diverso, devi aggiungere l'account di servizio dell'agente di servizio Cloud Healthcare del progetto di origine al progetto di destinazione e concedere all'account di servizio i ruoli bigquery.dataEditor e bigquery.jobUser nel progetto di destinazione.

Per trovare l'account di servizio dell'agente di servizio Cloud Healthcare del progetto di origine, completa i seguenti passaggi:

1. Assicurati di aver abilitato l'API Cloud Healthcare.
2. Nella pagina IAM della console Google Cloud , verifica che il ruolo Agente di servizio settore sanitario sia presente nella colonna Ruolo per l'account di servizio Agente di servizio Cloud Healthcare. L'identificatore del account di servizio è service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com. Prendi nota di questo indirizzo nel progetto di origine, poiché verrà utilizzato nei passaggi successivi.

Aggiungi l'account di servizio agente di servizio Cloud Healthcare dal progetto di origine al progetto di destinazione e concedi all'account di servizio le autorizzazioni BigQuery richieste completando i seguenti passaggi:

gcloud projects add-iam-policy-binding DESTINATION_PROJECT_ID \
    --member=serviceAccount:service-SOURCE_PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/bigquery.dataEditor

gcloud projects add-iam-policy-binding DESTINATION_PROJECT_ID \
    --member=serviceAccount:service-SOURCE_PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/bigquery.jobUser

Completa i passaggi descritti in Concedere l'accesso WRITER al set di dati BigQuery per consentire al progetto di origine di scrivere nel set di dati di destinazione.

Autorizzazioni Cloud Storage per gli archivi FHIR

Le sezioni seguenti descrivono i metodi FHIR che richiedono autorizzazioni aggiuntive per l'agente di servizio Cloud Healthcare per leggere o scrivere in Cloud Storage.

Importazione delle risorse FHIR da Cloud Storage

Il metodo projects.locations.datasets.fhirStores.import richiede le seguenti autorizzazioni per l'account di servizio dell'agente di servizio Cloud Healthcare:

• storage.objects.get
• storage.objects.list

Queste autorizzazioni sono incluse nel ruolo predefinito storage.objectViewer.

Puoi anche aggiungere le autorizzazioni a un ruolo personalizzato oppure potrebbero essere incluse in altri ruoli di base.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/storage.objectViewer 

Esportazione delle risorse FHIR in Cloud Storage

Per utilizzare il metodo projects.locations.datasets.fhirStores.export sono necessarie le seguenti autorizzazioni per il account di servizio dell'agente di servizio Cloud Healthcare:

• storage.objects.create
• storage.objects.delete
• storage.objects.list

Queste autorizzazioni sono incluse nel ruolo predefinito storage.objectAdmin.

Puoi anche aggiungere le autorizzazioni a un ruolo personalizzato oppure potrebbero essere incluse in altri ruoli di base.

Per concedere all'account di servizio il ruolo storage.objectAdmin, segui questi passaggi:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/storage.objectAdmin

Leggi i file di filtri da Cloud Storage

Il metodo projects.locations.datasets.fhirStores.rollback richiede le seguenti autorizzazioni per il account di servizio dell'agente di servizio Cloud Healthcare per leggere i file di filtri da Cloud Storage:

• storage.objects.get
• storage.objects.list

Queste autorizzazioni sono incluse nel ruolo predefinito storage.objectViewer.

Puoi anche aggiungere le autorizzazioni a un ruolo personalizzato oppure potrebbero essere incluse in altri ruoli di base.

Per concedere il ruolo storage.objectViewer al account di servizio, segui questi passaggi:

Scrivi i file di output in Cloud Storage

Il metodo projects.locations.datasets.fhirStores.rollback richiede le seguenti autorizzazioni per l'account di servizio dell'agente di servizio Cloud Healthcare per scrivere file di output in Cloud Storage:

• storage.objects.create
• storage.objects.delete
• storage.objects.get
• storage.objects.list

Queste autorizzazioni sono incluse nel ruolo predefinito storage.objectAdmin.

Puoi anche aggiungere le autorizzazioni a un ruolo personalizzato oppure potrebbero essere incluse in altri ruoli di base.

Per concedere il ruolo storage.objectAdmin al account di servizio, segui questi passaggi:

Autorizzazioni BigQuery per gli archivi FHIR

Il metodo projects.locations.datasets.fhirStores.export richiede autorizzazioni aggiuntive nell'account di servizio dell'agente di servizio Cloud Healthcare per esportare le risorse FHIR in BigQuery. Devi inoltre concedere l'accesso WRITER per il set di dati BigQuery all'account di servizio dell'agente di servizio Cloud Healthcare.

Concessione delle autorizzazioni al account di servizio dell'agente di servizio Cloud Healthcare

Concedere l'accesso a WRITER al set di dati BigQuery

1. Vai a Controllo dell'accesso a un set di dati.
2. Utilizza uno dei metodi disponibili per concedere all'indirizzo email dell'agente di servizio Cloud Healthcare l'accesso di tipo WRITER al set di dati BigQuery. Cerca l'indirizzo email che termina con @gcp-sa-healthcare.iam.gserviceaccount.com.

Ad esempio, se l'indirizzo email dell'agente di servizio Cloud Healthcare è service-000000000000@gcp-sa-healthcare.iam.gserviceaccount.com e se utilizzi l'interfaccia utente web di BigQuery, devi procedere come segue:

1. Segui le istruzioni di Console.
2. Nel campo Aggiungi entità, inserisci service-000000000000@gcp-sa-healthcare.iam.gserviceaccount.com e seleziona il ruolo bigquery.dataEditor.

Autorizzazioni Cloud Storage per gli archivi HL7v2

I metodi projects.locations.datasets.hl7V2Stores.import e projects.locations.datasets.hl7V2Stores.export richiedono autorizzazioni aggiuntive per l'account di servizio dell'agente di servizio Cloud Healthcare per importare i messaggi HL7v2 da Cloud Storage ed esportarli in Cloud Storage.

Determina le autorizzazioni richieste dal account di servizio in base alle azioni eseguite dall'applicazione:

• Se l'applicazione importa messaggi HL7v2 da Cloud Storage in un datastore HL7v2, il account di servizio richiede le autorizzazioni storage.objects.get e storage.objects.list, che sono incluse nel ruolo storage.objectViewer.
• Se l'applicazione esporta messaggi HL7v2 da un archivio HL7v2 a Cloud Storage, l'account di servizio richiede le autorizzazioni storage.objects.create, storage.objects.delete e storage.objects.list, che sono incluse nel ruolo storage.objectCreator.

Importazione di messaggi HL7v2 da Cloud Storage

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/storage.objectViewer 

Esportazione di messaggi HL7v2 in Cloud Storage

Puoi utilizzare la console Google Cloud o gcloud CLI per aggiungere il ruolo obbligatorio storage.objectCreator all'account di servizio del progetto:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/storage.objectCreator