Como gerenciar permissões entre a API Cloud Healthcare e outros produtos do Google Cloud

A API Cloud Healthcare não tem acesso automático a outros recursos do Google Cloud no projeto, como buckets do Cloud Storage e conjuntos de dados do BigQuery. Ao acessar esses recursos, a API Cloud Healthcare usa um agente de serviço chamado Agente de serviço do Cloud Healthcare.

Para realizar operações como notificar tópicos do Pub/Sub sobre alterações, importar dados de buckets do Cloud Storage, exportar dados para conjuntos de dados do BigQuery e assim por diante, primeiro conceda à conta de serviço as permissões de gerenciamento de identidade e acesso (IAM) necessárias para acessar o recursos fora da API Cloud Healthcare. Esta página descreve quais permissões são necessárias para as várias operações e como concedê-las.

Para saber mais sobre como usar o IAM para configurar permissões na API Cloud Healthcare, consulte Controle de acesso.

O Agente de serviço do Cloud Healthcare

A conta de serviço do Agente de serviço do Cloud Healthcare é criada automaticamente depois que você ativa a API Cloud Healthcare. O nome do membro é service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com. Para encontrar o PROJECT_NUMBER do seu projeto do Google Cloud, consulte Como identificar projetos.

É possível visualizar informações detalhadas sobre o Agente de serviço do Cloud Healthcare conta de serviço, como os papéis que recebeu, no Página "Identity and Access Management" do console do Google Cloud.

Para saber mais sobre o Agente de serviço do Cloud Healthcare e a interação com papéis e permissões do gerenciamento de identidade e acesso (IAM), consulte Controle de acesso.

Permissões da CMEK do conjunto de dados

É possível usar uma chave de criptografia gerenciada pelo cliente (CMEK) ao criar um conjunto de dados da API Cloud Healthcare. Para permitir que o A conta de serviço do Cloud Healthcare Service Agent criptografa e descriptografa objetos usando a chave CMEK, conceda à conta de serviço Criptografador/Descriptografador do CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) de rede.

Permissões do Pub/Sub para armazenamento DICOM, FHIR e HL7v2

As alterações nos armazenamentos DICOM, FHIR e HL7v2 podem ser enviadas para um tópico do Pub/Sub. Para mais informações, consulte Como usar o Cloud Pub/Sub para notificações.

Os métodos nesses armazenamentos exigem permissões adicionais na conta de serviço Agente de serviço do Cloud Healthcare para publicar alterações em um tópico do Pub/Sub.

Use o console do Google Cloud ou a CLI gcloud para adicionar a pubsub.publisher para a conta de serviço do seu projeto:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/pubsub.publisher

Configurar permissões de Pub/Sub entre projetos

Para publicar notificações do Pub/Sub em um tópico de outro projeto, conceda à conta de serviço do Cloud Healthcare Service Agent o pubsub.publisher no tópico. Para mais informações, consulte Controlar o acesso pelo console do Google Cloud e Controlar o acesso com a API IAM.

Para conferir um exemplo de publicação de notificações do Pub/Sub entre projetos, consulte Exemplo de caso de uso: comunicação entre projetos.

Permissões do Cloud Storage para armazenamento DICOM

Os métodos projects.locations.datasets.dicomStores.import e projects.locations.datasets.dicomStores.export exigem permissões adicionais na conta de serviço Agente de serviço do Cloud Healthcare para importar e exportar dados para o Cloud Storage.

Como importar dados do Cloud Storage

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/storage.objectViewer 

Como exportar dados para o Cloud Storage

Use o console do Google Cloud ou a CLI gcloud para adicionar as storage.objectAdmin para a conta de serviço do seu projeto:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/storage.objectAdmin

Permissões do BigQuery para armazenamento DICOM

O método projects.locations.datasets.dicomStores.export requer permissões adicionais na conta de serviço Agente de serviço do Cloud Healthcare para exportar metadados do DICOM para o BigQuery. Você também precisa conceder acesso WRITER para o conjunto de dados do BigQuery à conta de serviço Agente de serviço do Cloud Healthcare.

Como conceder permissões à conta de serviço Agente de serviço do Cloud Healthcare

Use o console do Google Cloud ou a CLI gcloud para adicionar os papéis bigquery.dataEditor e bigquery.jobUser necessários à conta de serviço do seu projeto.

Como conceder acesso WRITER ao conjunto de dados do BigQuery

1. Navegue até Como controlar o acesso a um conjunto de dados.
2. Usando um dos métodos disponíveis, conceda ao endereço de e-mail do Agente de serviço do Cloud Healthcare o acesso WRITER ao conjunto de dados do BigQuery. Procure o endereço de e-mail que termina com @gcp-sa-healthcare.iam.gserviceaccount.com.

Por exemplo, se o endereço de e-mail do Agente de serviço do Cloud Healthcare for service-000000000000@gcp-sa-healthcare.iam.gserviceaccount.com e, se você estiver usando a IU da Web do BigQuery:

1. Siga as instruções do Console.
2. No campo Adicionar principais, digite service-000000000000@gcp-sa-healthcare.iam.gserviceaccount.com e selecione o papel bigquery.dataEditor.

Como exportar metadados do DICOM entre projetos do Google Cloud

Para exportar metadados do DICOM de um armazenamento DICOM em um projeto para uma tabela do BigQuery em um projeto diferente, adicione a conta de serviço Agente de serviço do Cloud Healthcare ao projeto de destino e conceda a essa conta os papéis bigquery.dataEditor e bigquery.jobUser no projeto de destino.

Para encontrar a conta de serviço Agente de serviço do Cloud Healthcare do projeto de origem, siga estas etapas:

1. Verifique se você ativou a API Cloud Healthcare.
2. Na página do IAM no console do Google Cloud, verifique se o papel O Agente de serviço do Healthcare aparece na coluna Papel do Agente de serviço do Cloud Healthcare conta de serviço. O identificador da conta de serviço é service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com. Anote esse endereço no projeto de origem, pois ele será usado nas etapas a seguir.

Adicione a conta de serviço Agente de serviço do Cloud Healthcare do projeto de origem ao projeto de destino e conceda a essa conta as permissões necessárias do BigQuery seguindo estas etapas:

gcloud projects add-iam-policy-binding DESTINATION_PROJECT_ID \
    --member=serviceAccount:service-SOURCE_PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/bigquery.dataEditor

gcloud projects add-iam-policy-binding DESTINATION_PROJECT_ID \
    --member=serviceAccount:service-SOURCE_PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/bigquery.jobUser

Conclua as etapas em Como conceder acesso WRITER ao conjunto de dados do BigQuery para permitir que o projeto de origem grave no conjunto de dados de destino.

Permissões do Cloud Storage para armazenamento FHIR

As seções a seguir descrevem os métodos FHIR que exigem permissões de leitura ou gravação no Agente de serviço do Cloud Healthcare Cloud Storage.

Como importar recursos do FHIR do Cloud Storage

O projects.locations.datasets.fhirStores.import exige as seguintes permissões no Agente de serviço do Cloud Healthcare conta de serviço:

• storage.objects.get
• storage.objects.list

Essas permissões estão incluídas no papel storage.objectViewer predefinido.

Também é possível adicionar as permissões a um papel personalizado ou incluí-las em outros papéis básicos.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/storage.objectViewer 

Como exportar recursos do FHIR para o Cloud Storage

Para usar o projects.locations.datasets.fhirStores.export exige as seguintes permissões no Agente de serviço do Cloud Healthcare conta de serviço:

• storage.objects.create
• storage.objects.delete
• storage.objects.list

Essas permissões estão incluídas no papel storage.objectAdmin predefinido.

Também é possível adicionar as permissões a um papel personalizado, ou podem ser incluídos em outros papéis básicos.

Para conceder o papel storage.objectAdmin à conta de serviço, siga estas etapas:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/storage.objectAdmin

Ler arquivos de filtro do Cloud Storage

O projects.locations.datasets.fhirStores.rollback exige as seguintes permissões no Agente de serviço do Cloud Healthcare conta de serviço para ler arquivos de filtro do Cloud Storage:

• storage.objects.get
• storage.objects.list

Essas permissões estão incluídas no papel storage.objectViewer predefinido.

Também é possível adicionar as permissões a um papel personalizado ou incluí-las em outros papéis básicos.

Para conceder o papel storage.objectViewer à conta de serviço, siga estas etapas:

Gravar arquivos de saída no Cloud Storage

O projects.locations.datasets.fhirStores.rollback exige as seguintes permissões no Agente de serviço do Cloud Healthcare conta de serviço para gravar arquivos de saída para o Cloud Storage:

• storage.objects.create
• storage.objects.delete
• storage.objects.get
• storage.objects.list

Essas permissões estão incluídas no papel storage.objectAdmin predefinido.

Também é possível adicionar as permissões a um papel personalizado, ou podem ser incluídos em outros papéis básicos.

Para conceder o papel storage.objectAdmin à conta de serviço, siga estas etapas:

Permissões do BigQuery para armazenamento FHIR

O método projects.locations.datasets.fhirStores.export requer permissões adicionais na conta de serviço Agente de serviço do Cloud Healthcare para exportar recursos do FHIR para o BigQuery. Você também precisa conceder acesso WRITER para o conjunto de dados do BigQuery à conta de serviço Agente de serviço do Cloud Healthcare.

Como conceder permissões à conta de serviço Agente de serviço do Cloud Healthcare

Como conceder acesso WRITER ao conjunto de dados do BigQuery

1. Navegue até Como controlar o acesso a um conjunto de dados.
2. Usando um dos métodos disponíveis, conceda ao endereço de e-mail do Agente de serviço do Cloud Healthcare o acesso WRITER ao conjunto de dados do BigQuery. Procure o endereço de e-mail que termina com @gcp-sa-healthcare.iam.gserviceaccount.com.

Por exemplo, se o endereço de e-mail do Agente de serviço do Cloud Healthcare for service-000000000000@gcp-sa-healthcare.iam.gserviceaccount.com e, se você estiver usando a IU da Web do BigQuery:

1. Siga as instruções do Console.
2. No campo Adicionar principais, digite service-000000000000@gcp-sa-healthcare.iam.gserviceaccount.com e selecione o papel bigquery.dataEditor.

O HL7v2 armazena permissões do Cloud Storage

Os métodos projects.locations.datasets.hl7V2Stores.import e projects.locations.datasets.hl7V2Stores.export exigem outras permissões na conta de serviço do Agente de serviço do Cloud Healthcare para importar e exportar mensagens HL7v2 de e para o Cloud Storage.

Determine as permissões exigidas pela conta de serviço com base nas ações que o aplicativo executa:

• Se o aplicativo importar mensagens HL7v2 do Cloud Storage para um armazenamento HL7v2, a conta de serviço exigirá as permissões storage.objects.get e storage.objects.list, incluídas no papel storage.objectViewer.
• Se o aplicativo exportar mensagens HL7v2 de um armazenamento HL7v2 para o Cloud Storage, a conta de serviço exigirá as permissões storage.objects.create, storage.objects.delete e storage.objects.list, incluídas no papel storage.objectCreator.

Como importar mensagens HL7v2 do Cloud Storage

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/storage.objectViewer 

Como exportar mensagens HL7v2 para o Cloud Storage

Use o console do Google Cloud ou a CLI gcloud para adicionar as papel storage.objectCreator necessário para a conta de serviço do seu projeto:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-healthcare.iam.gserviceaccount.com \
    --role=roles/storage.objectCreator