Cloud Healthcare API 리소스에 대한 액세스 제어

이 페이지에서는 Identity and Access Management(IAM) 권한을 사용하여 Cloud Healthcare API 데이터 세트 및 데이터 저장소에 대한 액세스를 제어하는 방법을 설명합니다. IAM을 사용하면 데이터 세트 및 데이터 저장소에 액세스할 수 있는 사용자를 제어할 수 있습니다. Cloud Healthcare API용 IAM에 대한 자세한 내용은 액세스 제어를 참조하세요.

IAM 정책 개요

리소스에 대한 액세스 권한은 IAM 정책을 통해 관리합니다. 정책에는 bindings라는 배열이 포함됩니다. 이 배열에는 사용자 계정이나 서비스 계정 및 역할과 같이 주 구성원 사이를 연결하는 binding 컬렉션이 포함됩니다. 정책은 JSON 또는 YAML을 사용하여 나타냅니다.

다음 샘플 정책은 roles/healthcare.datasetAdmin 역할이 부여된 [e-mail]와 roles/healthcare.datasetViewer 역할이 부여된 [e-mail] 및 [e-mail]을 보여줍니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.datasetAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.datasetViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

리소스의 정책을 업데이트하려면 읽기-수정-쓰기 패턴을 사용합니다. 사용자 액세스를 생성, 수정, 취소하는 별도의 방법은 없습니다.

정책을 업데이트하려면 다음 단계를 완료하세요.

1. 리소스의 getIamPolicy() 메서드를 호출하여 현재 정책을 읽습니다. 예를 들어 데이터 세트의 현재 정책을 읽으려면 projects.locations.datasets.getIamPolicy를 호출합니다.
2. 텍스트 편집기를 사용하거나 프로그래매틱 방식으로 반환된 정책을 수정하여 관련된 주 구성원과 역할부여를 추가 또는 삭제합니다.
3. 리소스의 setIamPolicy() 메서드를 호출하여 업데이트된 정책을 작성합니다. 예를 들어 데이터 세트의 업데이트된 정책을 작성하려면 projects.locations.datasets.setIamPolicy를 호출합니다.

동의 저장소에서 IAM 사용

다음 섹션에서는 동의 저장소에 대해 정책을 가져오고, 수정, 설정하는 방법을 보여줍니다. 이 섹션에서는 다음 샘플 정책이 시작점으로 사용됩니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.consentStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.consentReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

정책 가져오기

다음 샘플은 동의 저장소 수준 IAM 정책을 읽는 방법을 보여줍니다. 자세한 내용은 projects.locations.datasets.consentStores.getIamPolicy를 참조하세요.

콘솔

동의 저장소의 IAM 정책을 보려면 다음 안내를 따르세요.

1. Google Cloud 콘솔에서 데이터 세트 페이지로 이동합니다.

   데이터 세트로 이동

2. 동의 저장소가 포함된 데이터 세트의 ID를 클릭한 다음 정책을 가져올 동의 저장소를 선택합니다.
3. 정보 패널 표시를 클릭합니다.
4. 역할에 할당된 주 구성원을 보려면 역할을 펼칩니다.

gcloud

동의 저장소에 대해 IAM 정책을 보려면 gcloud healthcare consent-stores get-iam-policy 명령어를 실행합니다. 동의 저장소 이름, 데이터 세트 이름, 위치를 지정합니다.

gcloud healthcare consent-stores get-iam-policy CONSENT_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION

요청이 성공하면 binding이 표시됩니다.

bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.consentStoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  role: roles/healthcare.consentReader
etag: bytes
version: VERSION_NUMBER

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const getConsentStoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const consentStoreId = 'my-consent-store';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/consentStores/${consentStoreId}`;
  const request = {resource_};

  const consentStore =
    await healthcare.projects.locations.datasets.consentStores.getIamPolicy(
      request
    );
  console.log(
    'Got consent store IAM policy:',
    JSON.stringify(consentStore.data, null, 2)
  );
};

getConsentStoreIamPolicy();

Python

def get_consent_store_iam_policy(
    project_id: str, location: str, dataset_id: str, consent_store_id: str
):
    """Gets the IAM policy for the specified consent store.
    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/consent
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the consent store's parent dataset ID
    # consent_store_id = 'my-consent-store'  # replace with the consent store's ID
    consent_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    consent_store_name = "{}/consentStores/{}".format(
        consent_store_parent, consent_store_id
    )

    request = (
        client.projects()
        .locations()
        .datasets()
        .consentStores()
        .getIamPolicy(resource=consent_store_name)
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    return response

curl

동의 저장소의 IAM 정책을 읽으려면 GET 요청을 수행하고 데이터 세트 이름, 동의 저장소 이름, 액세스 토큰을 지정합니다.

다음 샘플은 curl을 사용하는 GET 요청을 보여줍니다.

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
     "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/consentStores/CONSENT_STORE_ID:getIamPolicy"

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.consentStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.consentReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

PowerShell

동의 저장소의 IAM 정책을 읽으려면 GET 요청을 수행하고 데이터 세트 이름, 동의 저장소 이름, 액세스 토큰을 지정합니다.

다음 샘플은 Windows PowerShell을 사용한 GET 요청을 보여줍니다.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Get `
  -Headers $headers `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/consentStores/CONSENT_STORE_ID:getIamPolicy" | Select-Object -Expand Content

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.consentStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.consentReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

정책 수정

다음 샘플은 신규 사용자에게 roles/healthcare.consentReader 역할을 부여합니다. 자세한 내용은 projects.locations.datasets.consentStores.setIamPolicy를 참조하세요.

정책 설정

콘솔

동의 저장소 수준 IAM 정책을 설정하려면 다음 단계를 완료하세요.

1. Google Cloud 콘솔에서 데이터 세트 페이지로 이동합니다.

   데이터 세트로 이동

2. 동의 저장소가 포함된 데이터 세트의 ID를 클릭한 다음 정책을 설정할 동의 저장소를 선택합니다.
3. 정보 패널 표시를 클릭합니다.
4. 주 구성원 추가를 클릭합니다.
5. 새 주 구성원 필드에 동의 저장소에 액세스해야 하는 ID를 하나 이상 입력합니다.
6. 역할 선택 목록의 Cloud Healthcare 아래에서 부여할 권한을 선택합니다. 예를 들어 Healthcare 동의 저장소 뷰어를 선택합니다.
7. 저장을 클릭합니다.

gcloud

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.consentReader binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.consentReader",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

적용 가능한 역할을 부여하기 위해 정책을 수정한 후에는 적절한 set-iam-policy 명령어를 실행하여 변경합니다. 동의 저장소 수준 정책을 설정하려면 gcloud healthcare consent-stores set-iam-policy 명령어를 실행합니다. 동의 저장소 이름, 데이터 세트 이름, 위치, 생성한 정책 파일의 경로를 지정합니다.

gcloud healthcare consent-stores set-iam-policy CONSENT_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION \
    POLICY_FILE_NAME

요청이 성공하면 동의 저장소 이름과 바인딩이 표시됩니다.

Updated IAM policy for consentStore [CONSENT_STORE_ID].
bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.consentStoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  - user:NEW_USER_EMAIL_ADDRESS
  role: roles/healthcare.consentReader
etag: bytes
version: VERSION_NUMBER

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const setConsentStoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const consentStoreId = 'my-consent-store';
  // const member = 'user:[e-mail]';
  // const role = 'roles/healthcare.consentStoreViewer';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/consentStores/${consentStoreId}`;
  const request = {
    resource_,
    resource: {
      policy: {
        bindings: [
          {
            members: member,
            role: role,
          },
        ],
      },
    },
  };

  const consentStore =
    await healthcare.projects.locations.datasets.consentStores.setIamPolicy(
      request
    );
  console.log(
    'Set consent store IAM policy:',
    JSON.stringify(consentStore.data, null, 2)
  );
};

setConsentStoreIamPolicy();

Python

def set_consent_store_iam_policy(
    project_id: str,
    location: str,
    dataset_id: str,
    consent_store_id: str,
    member,
    role,
    etag=None,
):
    """Sets the IAM policy for the specified consent store.
    A single member will be assigned a single role. A member can be any of:
    - allUsers, that is, anyone
    - allAuthenticatedUsers, anyone authenticated with a Google account
    - user:email, as in 'user:[e-mail]'
    - group:email, as in 'group:[e-mail]'
    - domain:domainname, as in 'domain:example.com'
    - serviceAccount:email,
        as in 'serviceAccount:[e-mail]'
    A role can be any IAM role, such as 'roles/viewer', 'roles/owner',
    or 'roles/editor'
    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/consent
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the consent store's parent dataset ID
    # consent_store_id = 'my-consent-store'  # replace with the consent store's ID
    # member = '[e-mail]'  # replace with an authorized member
    # role = 'roles/viewer'  # replace with a Healthcare API IAM role
    consent_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    consent_store_name = "{}/consentStores/{}".format(
        consent_store_parent, consent_store_id
    )

    policy = {"bindings": [{"role": role, "members": [member]}]}

    if etag is not None:
        policy["etag"] = etag

    request = (
        client.projects()
        .locations()
        .datasets()
        .consentStores()
        .setIamPolicy(resource=consent_store_name, body={"policy": policy})
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    print("bindings: {}".format(response.get("bindings")))
    return response

curl

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.consentReader binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.consentReader",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

해당 역할을 부여하도록 정책을 수정한 후 projects.locations.datasets.consentStores.setIamPolicy를 호출하여 업데이트합니다.

동의 저장소 수준 IAM 정책을 설정하려면 POST 요청을 수행하고 데이터 세트 이름, 동의 저장소 이름, 정책 및 액세스 토큰을 지정합니다.

다음 샘플은 curl를 사용하여 신규 사용자에게 기존 roles/healthcare.consentReader 역할을 부여하는 POST 요청을 보여줍니다.

여기에 표시된 대로 정책을 요청에 직접 작성하거나 JSON 또는 YAML 파일로 전달할 수 있습니다. 정책 형식을 JSON 또는 YAML로 지정하는 방법의 예시는 Policy를 참조하세요.

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    --data "{
      'policy': {
        'bindings': [
          {
            'role':'roles/healthcare.consentStoreAdmin',
            'members': [
              'user:[e-mail]'
            ]
          },
          {
            'role':'roles/healthcare.consentReader',
            'members': [
              'serviceAccount:[e-mail]',
              'user:[e-mail]',
              'user:NEW_USER_EMAIL_ADDRESS'
            ]
          }
        ]
      }
    }" "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/consentStores/CONSENT_STORE_ID:setIamPolicy"

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.consentStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.consentReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

PowerShell

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.consentReader binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.consentReader",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

해당 역할을 부여하도록 정책을 수정한 후 projects.locations.datasets.consentStores.setIamPolicy를 호출하여 업데이트합니다.

동의 저장소 수준 IAM 정책을 설정하려면 POST 요청을 수행하고 데이터 세트 이름, 동의 저장소 이름, 정책 및 액세스 토큰을 지정합니다.

다음 샘플은 Windows PowerShell을 사용하여 신규 사용자에게 기존 roles/healthcare.consentReader 역할을 부여하는 POST 요청을 보여줍니다.

여기에 표시된 대로 정책을 요청에 직접 작성하거나 JSON 또는 YAML 파일로 전달할 수 있습니다. 정책 형식을 JSON 또는 YAML로 지정하는 방법의 예시는 Policy를 참조하세요.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body "{
    'policy': {
      'bindings': [
        {
          'role': 'roles/healthcare.consentStoreAdmin',
          'members': [
            'user:[e-mail]',
          ]
        },
        {
          'role': 'roles/healthcare.consentReader',
          'members': [
            'serviceAccount:[e-mail]',
            'user:[e-mail]',
            'user:NEW_USER_EMAIL_ADDRESS'
          ]
        }
      ]
    }
  }" `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/consentStores/CONSENT_STORE_ID:setIamPolicy" | Select-Object -Expand Content

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.consentStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.consentReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

데이터 세트에 IAM 사용

다음 섹션에서는 데이터 세트에 대해 정책을 가져오고, 수정, 설정하는 방법을 보여줍니다. 이 섹션에서는 다음 샘플 정책이 시작점으로 사용됩니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.datasetAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.datasetViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

정책 가져오기

다음 샘플은 데이터 세트 수준의 IAM 정책을 읽는 방법을 보여줍니다. 자세한 내용은 projects.locations.datasets.getIamPolicy를 참조하세요.

curl

데이터 세트의 IAM 정책을 읽으려면 GET 요청을 수행하고 데이터 세트 이름과 액세스 토큰을 지정합니다.

다음 샘플은 curl을 사용하는 GET 요청을 보여줍니다.

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
     "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID:getIamPolicy"

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.datasetAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.datasetViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

PowerShell

데이터 세트의 IAM 정책을 보려면 GET 요청을 실행하고 데이터 세트 이름과 액세스 토큰을 지정합니다.

다음 샘플은 Windows PowerShell을 사용한 GET 요청을 보여줍니다.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Get `
  -Headers $headers `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID:getIamPolicy" | Select-Object -Expand Content

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.datasetAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.datasetViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

콘솔

데이터 세트의 IAM 정책을 보려면 다음 안내를 따르세요.

1. Google Cloud 콘솔에서 데이터 세트 페이지로 이동합니다.

   데이터 세트로 이동

2. 데이터 세트를 선택한 다음 정보 패널 표시를 클릭합니다.
3. 역할에 할당된 주 구성원을 보려면 역할을 펼칩니다.

gcloud

데이터 세트의 IAM 정책을 보려면 gcloud healthcare datasets get-iam-policy 명령어를 실행합니다. 데이터 세트 이름과 위치를 지정합니다.

gcloud healthcare datasets get-iam-policy DATASET_ID \
    --location=LOCATION

요청이 성공하면 binding이 표시됩니다.

bindings:
- members:
  - serviceAccount:[e-mail]
  - user:[e-mail]
  role: roles/healthcare.datasetViewer
etag: bytes
version: VERSION_NUMBER

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// datasetIAMPolicy gets the dataset's IAM policy.
func datasetIAMPolicy(w io.Writer, projectID, location, datasetID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	datasetsService := healthcareService.Projects.Locations.Datasets

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s", projectID, location, datasetID)

	policy, err := datasetsService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM Policy etag: %v\n", policy.Etag)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Collections;

public class DatasetGetIamPolicy {
  private static final String DATASET_NAME = "projects/%s/locations/%s/datasets/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void datasetGetIamPolicy(String datasetName) throws IOException {
    // String datasetName =
    //     String.format(DATASET_NAME, "your-project-id", "your-region-id", "your-dataset-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Create request and configure any parameters.
    Datasets.GetIamPolicy request =
        client.projects().locations().datasets().getIamPolicy(datasetName);

    // Execute the request and process the results.
    Policy policy = request.execute();
    System.out.println("Dataset IAMPolicy retrieved: \n" + policy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const getDatasetIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}`;
  const request = {resource_};

  const dataset =
    await healthcare.projects.locations.datasets.getIamPolicy(request);
  console.log(
    'Got dataset IAM policy:',
    JSON.stringify(dataset.data, null, 2)
  );
};

getDatasetIamPolicy();

Python

# Imports the Dict and Any types for runtime type hints.
from typing import Any, Dict


def get_dataset_iam_policy(
    project_id: str, location: str, dataset_id: str
) -> Dict[str, Any]:
    """Gets the IAM policy for the specified dataset.

    See
    https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/datasets
    before running the sample.
    See https://googleapis.github.io/google-api-python-client/docs/dyn/healthcare_v1.projects.locations.datasets.html#getIamPolicy
    for the Python API reference.

    Args:
      project_id: The project ID or project number of the Google Cloud project you want
          to use.
      location: The name of the dataset's location.
      dataset_id: The ID of the dataset containing the IAM policy to get.

    Returns:
      A dictionary representing an IAM policy.
    """
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    # Imports HttpError from the Google Python API client errors module.
    from googleapiclient.errors import HttpError

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'
    # location = 'us-central1'
    # dataset_id = 'my-dataset'
    dataset_name = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )

    request = (
        client.projects().locations().datasets().getIamPolicy(resource=dataset_name)
    )

    try:
        response = request.execute()
        print("etag: {}".format(response.get("name")))
        return response
    except HttpError as err:
        raise err

정책 수정

다음 샘플은 신규 사용자에게 roles/healthcare.datasetViewer 역할을 부여합니다.

정책 설정

콘솔

데이터 세트 수준의 IAM 정책을 설정하려면 다음 단계를 완료하세요.

1. Google Cloud 콘솔에서 데이터 세트 페이지로 이동합니다.

   데이터 세트로 이동

2. 정책을 설정하려는 데이터 세트를 선택하고 정보 패널 표시를 클릭합니다.
3. 주 구성원 추가를 클릭합니다.
4. 새 주 구성원 필드에 데이터 세트에 액세스해야 하는 ID를 하나 이상 입력합니다.
5. 역할 선택 목록의 Cloud Healthcare 아래에서 부여할 권한을 선택합니다. 예를 들어 Healthcare 데이터 세트 뷰어를 선택합니다.
6. 저장을 클릭합니다.

gcloud

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.datasetViewer binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.datasetViewer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

적용 가능한 역할을 부여하기 위해 정책을 수정한 후에는 적절한 set-iam-policy 명령어를 실행하여 변경합니다. 데이터 세트 수준의 정책을 설정하려면 gcloud healthcare datasets set-iam-policy 명령어를 실행합니다. 데이터 세트 이름, 위치, 생성한 정책 파일의 경로를 지정합니다.

gcloud healthcare datasets set-iam-policy DATASET_ID \
    --location=LOCATION \
    POLICY_FILE_NAME

요청이 성공하면 데이터 세트 이름과 binding이 표시됩니다.

Updated IAM policy for dataset [DATASET_ID].
bindings:
- members:
  - serviceAccount:[e-mail]
  - user:[e-mail]
  role: roles/healthcare.datasetAdmin
  - user:[e-mail]
  - user:NEW_USER_EMAIL_ADDRESS
  role: roles/healthcare.datasetViewer
etag: bytes
version: VERSION_NUMBER

curl

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.datasetViewer binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.datasetViewer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

해당 역할을 부여하도록 정책을 수정한 후 projects.locations.datasets.setIamPolicy를 호출하여 업데이트합니다.

데이터 세트 수준의 IAM 정책을 설정하려면 POST 요청을 실행하고 데이터 세트 이름, 정책, 액세스 토큰을 지정합니다.

다음 샘플은 curl를 사용하여 신규 사용자에게 기존 roles/healthcare.datasetViewer 역할을 부여하는 POST 요청을 보여줍니다.

여기에 표시된 대로 정책을 요청에 직접 작성하거나 JSON 또는 YAML 파일로 전달할 수 있습니다. 정책 형식을 JSON 또는 YAML로 지정하는 방법의 예시는 Policy를 참조하세요.

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    --data "{
      'policy': {
        'bindings': [
          {
            'role':'roles/healthcare.datasetAdmin',
            'members': [
              'user:[e-mail]'
            ]
          },
          {
            'role':'roles/healthcare.datasetViewer',
            'members': [
              'serviceAccount:[e-mail]',
              'user:[e-mail]',
              'user:NEW_USER_EMAIL_ADDRESS'
            ]
          }
        ]
      }
    }" "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID:setIamPolicy"

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.datasetAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.datasetViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

PowerShell

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.datasetViewer binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.datasetViewer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

해당 역할을 부여하도록 정책을 수정한 후 projects.locations.datasets.setIamPolicy를 호출하여 업데이트합니다.

데이터 세트 수준의 IAM 정책을 설정하려면 POST 요청을 실행하고 데이터 세트 이름, 정책, 액세스 토큰을 지정합니다.

다음 샘플은 Windows PowerShell을 사용하여 신규 사용자에게 기존 roles/healthcare.datasetViewer 역할을 부여하는 POST 요청을 보여줍니다.

여기에 표시된 대로 정책을 요청에 직접 작성하거나 JSON 또는 YAML 파일로 전달할 수 있습니다. 정책 형식을 JSON 또는 YAML로 지정하는 방법의 예시는 Policy를 참조하세요.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body "{
    'policy': {
      'bindings': [
        {
          'role': 'roles/healthcare.datasetAdmin',
          'members': [
            'user:[e-mail]'
          ]
        },
        {
          'role': 'roles/healthcare.datasetViewer',
          'members': [
            'serviceAccount:[e-mail]',
            'user:[e-mail]',
            'user:NEW_USER_EMAIL_ADDRESS'
          ]
        }
      ]
    }
  }" `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID:setIamPolicy" | Select-Object -Expand Content

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.datasetAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.datasetViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// setDatasetIAMPolicy sets an IAM policy for the dataset.
func setDatasetIAMPolicy(w io.Writer, projectID, location, datasetID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	datasetsService := healthcareService.Projects.Locations.Datasets

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s", projectID, location, datasetID)

	policy, err := datasetsService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	policy.Bindings = append(policy.Bindings, &healthcare.Binding{
		Members: []string{"user:[e-mail]"},
		Role:    "roles/viewer",
	})

	req := &healthcare.SetIamPolicyRequest{
		Policy: policy,
	}

	policy, err = datasetsService.SetIamPolicy(name, req).Do()
	if err != nil {
		return fmt.Errorf("SetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM Policy etag: %v", policy.Etag)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Binding;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.api.services.healthcare.v1.model.SetIamPolicyRequest;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Arrays;
import java.util.Collections;

public class DatasetSetIamPolicy {
  private static final String DATASET_NAME = "projects/%s/locations/%s/datasets/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void datasetSetIamPolicy(String datasetName) throws IOException {
    // String datasetName =
    //     String.format(DATASET_NAME, "your-project-id", "your-region-id", "your-dataset-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Configure the IAMPolicy to apply to the dataset.
    // For more information on understanding IAM roles, see the following:
    // https://cloud.google.com/iam/docs/understanding-roles
    Binding binding =
        new Binding()
            .setRole("roles/healthcare.datasetViewer")
            .setMembers(Arrays.asList("domain:google.com"));
    Policy policy = new Policy().setBindings(Arrays.asList(binding));
    SetIamPolicyRequest policyRequest = new SetIamPolicyRequest().setPolicy(policy);

    // Create request and configure any parameters.
    Datasets.SetIamPolicy request =
        client.projects().locations().datasets().setIamPolicy(datasetName, policyRequest);

    // Execute the request and process the results.
    Policy updatedPolicy = request.execute();
    System.out.println("Dataset policy has been updated: " + updatedPolicy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const setDatasetIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const member = 'user:[e-mail]';
  // const role = 'roles/healthcare.datasetViewer';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}`;
  const request = {
    resource_,
    resource: {
      policy: {
        bindings: [
          {
            members: member,
            role: role,
          },
        ],
      },
    },
  };

  const dataset =
    await healthcare.projects.locations.datasets.setIamPolicy(request);
  console.log(
    'Set dataset IAM policy:',
    JSON.stringify(dataset.data, null, 2)
  );
};

setDatasetIamPolicy();

Python

# Imports the Dict and Any types for runtime type hints.
from typing import Any, Dict

def set_dataset_iam_policy(
    project_id: str,
    location: str,
    dataset_id: str,
    member: str,
    role: str,
    etag: str = None,
) -> Dict[str, Any]:
    """Sets the IAM policy for the specified dataset.

        A single member will be assigned a single role. A member can be any of:

        - allUsers, that is, anyone
        - allAuthenticatedUsers, anyone authenticated with a Google account
        - user:email, as in 'user:[e-mail]'
        - group:email, as in 'group:[e-mail]'
        - domain:domainname, as in 'domain:example.com'
        - serviceAccount:email,
            as in 'serviceAccount:[e-mail]'

        A role can be any IAM role, such as 'roles/viewer', 'roles/owner',
        or 'roles/editor'

    See
    https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/datasets
    before running the sample.
    See https://googleapis.github.io/google-api-python-client/docs/dyn/healthcare_v1.projects.locations.datasets.html#setIamPolicy
    for the Python API reference.

    Args:
      project_id: The project ID or project number of the Google Cloud project you want
          to use.
      location: The name of the dataset's location.
      dataset_id: The ID of the dataset containing the IAM policy to set.
      member: The principals to grant access for a Google Cloud resource.
      role: The role to assign to the list of 'members'.
      etag: The 'etag' returned in a previous getIamPolicy request to ensure that
        setIamPolicy changes apply to the same policy version.

    Returns:
      A dictionary representing an IAM policy.
    """
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    # Imports HttpError from the Google Python API client errors module.
    from googleapiclient.errors import HttpError

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'
    # location = 'us-central1'
    # dataset_id = 'my-dataset'
    dataset_name = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )

    # TODO(developer): Uncomment these lines and replace with your values.
    # role = 'roles/viewer'
    # member = 'serviceAccount:[e-mail]'
    policy = {"bindings": [{"role": role, "members": [member]}]}

    if etag is not None:
        policy["etag"] = etag

    request = (
        client.projects()
        .locations()
        .datasets()
        .setIamPolicy(resource=dataset_name, body={"policy": policy})
    )
    try:
        response = request.execute()
        print("etag: {}".format(response.get("name")))
        print("bindings: {}".format(response.get("bindings")))
        return response
    except HttpError as err:
        raise err

DICOM 저장소에 IAM 사용

다음 섹션에서는 DICOM 저장소에 대해 정책을 가져오고, 수정, 설정하는 방법을 보여줍니다. 이 섹션에서는 다음 샘플 정책이 시작점으로 사용됩니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.dicomStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.dicomViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

정책 가져오기

다음 샘플은 DICOM 저장소 수준 IAM 정책을 읽는 방법을 보여줍니다. 자세한 내용은 projects.locations.datasets.dicomStores.getIamPolicy를 참조하세요.

콘솔

DICOM 저장소의 IAM 정책을 보려면 다음 안내를 따르세요.

1. Google Cloud 콘솔에서 데이터 세트 페이지로 이동합니다.

   데이터 세트로 이동

2. DICOM 저장소가 포함된 데이터 세트의 ID를 클릭한 다음 정책을 가져올 DICOM 저장소를 선택합니다.
3. 정보 패널 표시를 클릭합니다.
4. 역할에 할당된 주 구성원을 보려면 역할을 펼칩니다.

gcloud

DICOM 저장소에 대해 IAM 정책을 보려면 gcloud healthcare dicom-stores get-iam-policy 명령어를 실행합니다. DICOM 저장소 이름, 데이터 세트 이름, 위치를 지정합니다.

gcloud healthcare dicom-stores get-iam-policy DICOM_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION

요청이 성공하면 binding이 표시됩니다.

bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.dicomStoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  role: roles/healthcare.dicomViewer
etag: bytes
version: VERSION_NUMBER

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// getDICOMIAMPolicy gets the DICOM store's IAM policy.
func getDICOMIAMPolicy(w io.Writer, projectID, location, datasetID, dicomStoreID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	dicomService := healthcareService.Projects.Locations.Datasets.DicomStores

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s/dicomStores/%s", projectID, location, datasetID, dicomStoreID)

	policy, err := dicomService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM Policy etag: %v\n", policy.Etag)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets.DicomStores;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Collections;

public class DicomStoreGetIamPolicy {
  private static final String DICOM_NAME = "projects/%s/locations/%s/datasets/%s/dicomStores/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void dicomStoreGetIamPolicy(String dicomStoreName) throws IOException {
    // String dicomStoreName =
    //    String.format(
    //        DICOM_NAME, "your-project-id", "your-region-id", "your-dataset-id", "your-dicom-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Create request and configure any parameters.
    DicomStores.GetIamPolicy request =
        client.projects().locations().datasets().dicomStores().getIamPolicy(dicomStoreName);

    // Execute the request and process the results.
    Policy policy = request.execute();
    System.out.println("DICOM store IAMPolicy retrieved: \n" + policy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const getDicomStoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const dicomStoreId = 'my-dicom-store';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/dicomStores/${dicomStoreId}`;
  const request = {resource_};

  const dicomStore =
    await healthcare.projects.locations.datasets.dicomStores.getIamPolicy(
      request
    );
  console.log(
    'Got DICOM store IAM policy:',
    JSON.stringify(dicomStore.data, null, 2)
  );
};

getDicomStoreIamPolicy();

Python

def get_dicom_store_iam_policy(project_id, location, dataset_id, dicom_store_id):
    """Gets the IAM policy for the specified DICOM store.

    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/dicom
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the DICOM store's parent dataset ID
    # dicom_store_id = 'my-dicom-store'  # replace with the DICOM store's ID
    dicom_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    dicom_store_name = f"{dicom_store_parent}/dicomStores/{dicom_store_id}"

    request = (
        client.projects()
        .locations()
        .datasets()
        .dicomStores()
        .getIamPolicy(resource=dicom_store_name)
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    return response

curl

DICOM 저장소의 IAM 정책을 읽으려면 GET 요청을 수행하고 데이터 세트 이름, DICOM 저장소 이름, 액세스 토큰을 지정합니다.

다음 샘플은 curl을 사용하는 GET 요청을 보여줍니다.

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
     "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/dicomStores/DICOM_STORE_ID:getIamPolicy"

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.dicomStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.dicomViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

PowerShell

DICOM 저장소의 IAM 정책을 읽으려면 GET 요청을 수행하고 데이터 세트 이름, DICOM 저장소 이름, 액세스 토큰을 지정합니다.

다음 샘플은 Windows PowerShell을 사용한 GET 요청을 보여줍니다.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Get `
  -Headers $headers `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/dicomStores/DICOM_STORE_ID:getIamPolicy" | Select-Object -Expand Content

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.dicomStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.dicomViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

정책 수정

다음 샘플은 신규 사용자에게 roles/healthcare.dicomViewer 역할을 부여합니다. 자세한 내용은 projects.locations.datasets.dicomStores.setIamPolicy를 참조하세요.

정책 설정

콘솔

DICOM 저장소 수준 IAM 정책을 설정하려면 다음 단계를 완료하세요.

1. Google Cloud 콘솔에서 데이터 세트 페이지로 이동합니다.

   데이터 세트로 이동

2. DICOM 저장소가 포함된 데이터 세트의 ID를 클릭한 다음 정책을 설정할 DICOM 저장소를 선택합니다.
3. 정보 패널 표시를 클릭합니다.
4. 주 구성원 추가를 클릭합니다.
5. 새 주 구성원 필드에 DICOM 저장소에 액세스해야 하는 ID를 하나 이상 입력합니다.
6. 역할 선택 목록의 Cloud Healthcare 아래에서 부여할 권한을 선택합니다. 예를 들어 Healthcare DICOM 저장소 뷰어입니다.
7. 저장을 클릭합니다.

gcloud

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.dicomViewer binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.dicomViewer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

적용 가능한 역할을 부여하기 위해 정책을 수정한 후에는 적절한 set-iam-policy 명령어를 실행하여 변경합니다. DICOM 저장소 수준 정책을 설정하려면 gcloud healthcare dicom-stores set-iam-policy 명령어를 실행합니다. DICOM 저장소 이름, 데이터 세트 이름, 위치, 생성한 정책 파일의 경로를 지정합니다.

gcloud healthcare dicom-stores set-iam-policy DICOM_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION \
    POLICY_FILE_NAME

요청이 성공하면 DICOM 저장소 이름과 binding이 표시됩니다.

Updated IAM policy for dicomStore [DICOM_STORE_ID].
bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.dicomStoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  - user:NEW_USER_EMAIL_ADDRESS
  role: roles/healthcare.dicomViewer
etag: bytes
version: VERSION_NUMBER

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// setDICOMIAMPolicy sets the DICOM store's IAM policy.
func setDICOMIAMPolicy(w io.Writer, projectID, location, datasetID, dicomStoreID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	dicomService := healthcareService.Projects.Locations.Datasets.DicomStores

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s/dicomStores/%s", projectID, location, datasetID, dicomStoreID)

	policy, err := dicomService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	policy.Bindings = append(policy.Bindings, &healthcare.Binding{
		Members: []string{"user:[e-mail]"},
		Role:    "roles/viewer",
	})

	req := &healthcare.SetIamPolicyRequest{
		Policy: policy,
	}

	policy, err = dicomService.SetIamPolicy(name, req).Do()
	if err != nil {
		return fmt.Errorf("SetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM Policy etag: %v\n", policy.Etag)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets.DicomStores;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Binding;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.api.services.healthcare.v1.model.SetIamPolicyRequest;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Arrays;
import java.util.Collections;

public class DicomStoreSetIamPolicy {
  private static final String DICOM_NAME = "projects/%s/locations/%s/datasets/%s/dicomStores/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void dicomStoreSetIamPolicy(String dicomStoreName) throws IOException {
    // String dicomStoreName =
    //    String.format(
    //        DICOM_NAME, "your-project-id", "your-region-id", "your-dataset-id", "your-dicom-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Configure the IAMPolicy to apply to the store.
    // For more information on understanding IAM roles, see the following:
    // https://cloud.google.com/iam/docs/understanding-roles
    Binding binding =
        new Binding()
            .setRole("roles/healthcare.dicomStoreAdmin")
            .setMembers(Arrays.asList("domain:google.com"));
    Policy policy = new Policy().setBindings(Arrays.asList(binding));
    SetIamPolicyRequest policyRequest = new SetIamPolicyRequest().setPolicy(policy);

    // Create request and configure any parameters.
    DicomStores.SetIamPolicy request =
        client
            .projects()
            .locations()
            .datasets()
            .dicomStores()
            .setIamPolicy(dicomStoreName, policyRequest);

    // Execute the request and process the results.
    Policy updatedPolicy = request.execute();
    System.out.println("DICOM policy has been updated: " + updatedPolicy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const setDicomStoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const dicomStoreId = 'my-dicom-store';
  // const member = 'user:[e-mail]';
  // const role = 'roles/healthcare.dicomStoreViewer';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/dicomStores/${dicomStoreId}`;
  const request = {
    resource_,
    resource: {
      policy: {
        bindings: [
          {
            members: member,
            role: role,
          },
        ],
      },
    },
  };

  const dicomStore =
    await healthcare.projects.locations.datasets.dicomStores.setIamPolicy(
      request
    );
  console.log(
    'Set DICOM store IAM policy:',
    JSON.stringify(dicomStore.data, null, 2)
  );
};

setDicomStoreIamPolicy();

Python

def set_dicom_store_iam_policy(
    project_id, location, dataset_id, dicom_store_id, member, role, etag=None
):
    """Sets the IAM policy for the specified DICOM store.

    A single member will be assigned a single role. A member can be any of:

    - allUsers, that is, anyone
    - allAuthenticatedUsers, anyone authenticated with a Google account
    - user:email, as in 'user:[e-mail]'
    - group:email, as in 'group:[e-mail]'
    - domain:domainname, as in 'domain:example.com'
    - serviceAccount:email,
        as in 'serviceAccount:[e-mail]'

    A role can be any IAM role, such as 'roles/viewer', 'roles/owner',
    or 'roles/editor'

    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/dicom
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the DICOM store's parent dataset ID
    # dicom_store_id = 'my-dicom-store'  # replace with the DICOM store's ID
    # member = '[e-mail]'  # replace with an authorized member
    # role = 'roles/viewer'  # replace with a Healthcare API IAM role
    dicom_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    dicom_store_name = f"{dicom_store_parent}/dicomStores/{dicom_store_id}"

    policy = {"bindings": [{"role": role, "members": [member]}]}

    if etag is not None:
        policy["etag"] = etag

    request = (
        client.projects()
        .locations()
        .datasets()
        .dicomStores()
        .setIamPolicy(resource=dicom_store_name, body={"policy": policy})
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    print("bindings: {}".format(response.get("bindings")))
    return response

curl

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.dicomViewer binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.dicomViewer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

해당 역할을 부여하도록 정책을 수정한 후 projects.locations.datasets.dicomStores.setIamPolicy를 호출하여 업데이트합니다.

DICOM 저장소 수준 IAM 정책을 설정하려면 POST 요청을 수행하고 데이터 세트 이름, DICOM 저장소 이름, 정책 및 액세스 토큰을 지정합니다.

다음 샘플은 curl를 사용하여 신규 사용자에게 기존 roles/healthcare.dicomViewer 역할을 부여하는 POST 요청을 보여줍니다.

여기에 표시된 대로 정책을 요청에 직접 작성하거나 JSON 또는 YAML 파일로 전달할 수 있습니다. 정책 형식을 JSON 또는 YAML로 지정하는 방법의 예시는 Policy를 참조하세요.

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    --data "{
      'policy': {
        'bindings': [
          {
            'role':'roles/healthcare.dicomStoreAdmin',
            'members': [
              'user:[e-mail]'
            ]
          },
          {
            'role':'roles/healthcare.dicomViewer',
            'members': [
              'serviceAccount:[e-mail]',
              'user:[e-mail]',
              'user:NEW_USER_EMAIL_ADDRESS'
            ]
          }
        ]
      }
    }" "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/dicomStores/DICOM_STORE_ID:setIamPolicy"

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.dicomStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.dicomViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

PowerShell

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.dicomViewer binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.dicomViewer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

해당 역할을 부여하도록 정책을 수정한 후 projects.locations.datasets.dicomStores.setIamPolicy를 호출하여 업데이트합니다.

DICOM 저장소 수준 IAM 정책을 설정하려면 POST 요청을 수행하고 데이터 세트 이름, DICOM 저장소 이름, 정책 및 액세스 토큰을 지정합니다.

다음 샘플은 Windows PowerShell을 사용하여 신규 사용자에게 기존 roles/healthcare.dicomViewer 역할을 부여하는 POST 요청을 보여줍니다.

여기에 표시된 대로 정책을 요청에 직접 작성하거나 JSON 또는 YAML 파일로 전달할 수 있습니다. 정책 형식을 JSON 또는 YAML로 지정하는 방법의 예시는 Policy를 참조하세요.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body "{
    'policy': {
      'bindings': [
        {
          'role': 'roles/healthcare.dicomStoreAdmin',
          'members': [
            'user:[e-mail]',
          ]
        },
        {
          'role': 'roles/healthcare.dicomViewer',
          'members': [
            'serviceAccount:[e-mail]',
            'user:[e-mail]',
            'user:NEW_USER_EMAIL_ADDRESS'
          ]
        }
      ]
    }
  }" `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/dicomStores/DICOM_STORE_ID:setIamPolicy" | Select-Object -Expand Content

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.dicomStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.dicomViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

FHIR 저장소에 IAM 사용

다음 섹션에서는 FHIR 저장소에 대해 정책을 가져오고, 수정, 설정하는 방법을 보여줍니다. 이 섹션에서는 다음 샘플 정책이 시작점으로 사용됩니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.fhirStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.fhirResourceReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

정책 가져오기

다음 샘플은 FHIR 저장소 수준 IAM 정책을 읽는 방법을 보여줍니다. 자세한 내용은 projects.locations.datasets.fhirStores.getIamPolicy를 참조하세요.

콘솔

FHIR 저장소에 대한 IAM 정책을 보려면 다음 안내를 따르세요.

1. Google Cloud 콘솔에서 데이터 세트 페이지로 이동합니다.

   데이터 세트로 이동

2. FHIR 저장소가 포함된 데이터 세트의 ID를 클릭한 다음 정책을 가져올 FHIR 저장소를 선택합니다.
3. 정보 패널 표시를 클릭합니다.
4. 역할에 할당된 주 구성원을 보려면 역할을 펼칩니다.

gcloud

FHIR 저장소에 대해 IAM 정책을 보려면 gcloud healthcare fhir-stores get-iam-policy 명령어를 실행합니다. FHIR 저장소 이름, 데이터 세트 이름, 위치를 지정합니다.

gcloud healthcare fhir-stores get-iam-policy FHIR_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION

요청이 성공하면 binding이 표시됩니다.

bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.fhirStoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  role: roles/healthcare.fhirResourceReader
etag: bytes
version: VERSION_NUMBER

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// getFHIRIAMPolicy gets the FHIR store's IAM policy.
func getFHIRIAMPolicy(w io.Writer, projectID, location, datasetID, fhirStoreID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	fhirService := healthcareService.Projects.Locations.Datasets.FhirStores

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s/fhirStores/%s", projectID, location, datasetID, fhirStoreID)

	policy, err := fhirService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM Policy etag: %v\n", policy.Etag)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets.FhirStores;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Collections;

public class FhirStoreGetIamPolicy {
  private static final String FHIR_NAME = "projects/%s/locations/%s/datasets/%s/fhirStores/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void fhirStoreGetIamPolicy(String fhirStoreName) throws IOException {
    // String fhirStoreName =
    //    String.format(
    //        FHIR_NAME, "your-project-id", "your-region-id", "your-dataset-id", "your-fhir-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Create request and configure any parameters.
    FhirStores.GetIamPolicy request =
        client.projects().locations().datasets().fhirStores().getIamPolicy(fhirStoreName);

    // Execute the request and process the results.
    Policy policy = request.execute();
    System.out.println("FHIR store IAMPolicy retrieved: \n" + policy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const getFhirStoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const fhirStoreId = 'my-fhir-store';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/fhirStores/${fhirStoreId}`;
  const request = {resource_};

  const fhirStore =
    await healthcare.projects.locations.datasets.fhirStores.getIamPolicy(
      request
    );
  console.log(
    'Got FHIR store IAM policy:',
    JSON.stringify(fhirStore.data, null, 2)
  );
};

getFhirStoreIamPolicy();

Python

def get_fhir_store_iam_policy(project_id, location, dataset_id, fhir_store_id):
    """Gets the IAM policy for the specified FHIR store.

    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/fhir
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Instantiates an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the parent dataset's ID
    # fhir_store_id = 'my-fhir-store' # replace with the FHIR store ID
    fhir_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    fhir_store_name = f"{fhir_store_parent}/fhirStores/{fhir_store_id}"

    request = (
        client.projects()
        .locations()
        .datasets()
        .fhirStores()
        .getIamPolicy(resource=fhir_store_name)
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    return response

curl

FHIR 저장소에 대한 IAM 정책을 읽으려면 POST 요청을 수행하고 데이터 세트 이름, FHIR 저장소 이름 및 액세스 토큰을 지정합니다.

다음 샘플은 curl을 사용하는 POST 요청을 보여줍니다.

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
     "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/fhirStores/FHIR_STORE_ID:getIamPolicy"

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.fhirStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.fhirResourceReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

PowerShell

FHIR 저장소에 대한 IAM 정책을 읽으려면 POST 요청을 수행하고 데이터 세트 이름, FHIR 저장소 이름 및 액세스 토큰을 지정합니다.

다음 샘플은 Windows PowerShell을 사용한 POST 요청을 보여줍니다.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/fhirStores/FHIR_STORE_ID:getIamPolicy" | Select-Object -Expand Content

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.fhirStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.fhirResourceReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

정책 수정

다음 샘플은 신규 사용자에게 roles/healthcare.fhirResourceReader 역할을 부여합니다. 자세한 내용은 projects.locations.datasets.fhirStores.setIamPolicy를 참조하세요.

정책 설정

콘솔

FHIR 저장소 수준 IAM 정책을 설정하려면 다음 단계를 완료하세요.

1. Google Cloud 콘솔에서 데이터 세트 페이지로 이동합니다.

   데이터 세트로 이동

2. FHIR 저장소가 포함된 데이터 세트의 ID를 클릭한 다음 정책을 설정할 FHIR 저장소를 선택합니다.
3. 정보 패널 표시를 클릭합니다.
4. 주 구성원 추가를 클릭합니다.
5. 새 주 구성원 필드에 FHIR 저장소에 액세스해야 하는 ID를 하나 이상 입력합니다.
6. 역할 선택 목록의 Cloud Healthcare 아래에서 부여할 권한을 선택합니다. 예를 들어 Healthcare FHIR 리소스 리더를 선택합니다.
7. 저장을 클릭합니다.

gcloud

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.fhirResourceReader binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.fhirResourceReader",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

적용 가능한 역할을 부여하기 위해 정책을 수정한 후에는 적절한 set-iam-policy 명령어를 실행하여 변경합니다. FHIR 저장소 수준 정책을 설정하려면 gcloud healthcare fhir-stores set-iam-policy 명령어를 실행합니다. FHIR 저장소 이름, 데이터 세트 이름, 위치, 생성한 정책 파일의 경로를 지정합니다.

gcloud healthcare fhir-stores set-iam-policy FHIR_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION \
    POLICY_FILE_NAME

요청이 성공하면 FHIR 저장소 이름과 binding이 표시됩니다.

Updated IAM policy for fhirStore [FHIR_STORE_ID].
bindings:
- members:
  - serviceAccount:[e-mail]
  - user:[e-mail]
  - user:NEW_USER_EMAIL_ADDRESS
  role: roles/healthcare.fhirResourceReader
etag: bytes
version: VERSION_NUMBER

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// setFHIRIAMPolicy sets the FHIR store's IAM policy.
func setFHIRIAMPolicy(w io.Writer, projectID, location, datasetID, fhirStoreID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	fhirService := healthcareService.Projects.Locations.Datasets.FhirStores

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s/fhirStores/%s", projectID, location, datasetID, fhirStoreID)

	policy, err := fhirService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	policy.Bindings = append(policy.Bindings, &healthcare.Binding{
		Members: []string{"user:[e-mail]"},
		Role:    "roles/viewer",
	})

	req := &healthcare.SetIamPolicyRequest{
		Policy: policy,
	}

	policy, err = fhirService.SetIamPolicy(name, req).Do()
	if err != nil {
		return fmt.Errorf("SetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM Policy version: %v\n", policy.Version)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets.FhirStores;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Binding;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.api.services.healthcare.v1.model.SetIamPolicyRequest;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Arrays;
import java.util.Collections;

public class FhirStoreSetIamPolicy {
  private static final String FHIR_NAME = "projects/%s/locations/%s/datasets/%s/fhirStores/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void fhirStoreSetIamPolicy(String fhirStoreName) throws IOException {
    // String fhirStoreName =
    //    String.format(
    //        FHIR_NAME, "your-project-id", "your-region-id", "your-dataset-id", "your-fhir-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Configure the IAMPolicy to apply to the store.
    // For more information on understanding IAM roles, see the following:
    // https://cloud.google.com/iam/docs/understanding-roles
    Binding binding =
        new Binding()
            .setRole("roles/healthcare.fhirResourceReader")
            .setMembers(Arrays.asList("domain:google.com"));
    Policy policy = new Policy().setBindings(Arrays.asList(binding));
    SetIamPolicyRequest policyRequest = new SetIamPolicyRequest().setPolicy(policy);

    // Create request and configure any parameters.
    FhirStores.SetIamPolicy request =
        client
            .projects()
            .locations()
            .datasets()
            .fhirStores()
            .setIamPolicy(fhirStoreName, policyRequest);

    // Execute the request and process the results.
    Policy updatedPolicy = request.execute();
    System.out.println("FHIR policy has been updated: " + updatedPolicy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const setFhirStoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const fhirStoreId = 'my-fhir-store';
  // const member = 'user:[e-mail]';
  // const role = 'roles/healthcare.fhirStoreViewer';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/fhirStores/${fhirStoreId}`;
  const request = {
    resource_,
    resource: {
      policy: {
        bindings: [
          {
            members: member,
            role: role,
          },
        ],
      },
    },
  };

  const fhirStore =
    await healthcare.projects.locations.datasets.fhirStores.setIamPolicy(
      request
    );
  console.log(
    'Set FHIR store IAM policy:',
    JSON.stringify(fhirStore.data, null, 2)
  );
};

setFhirStoreIamPolicy();

Python

def set_fhir_store_iam_policy(
    project_id,
    location,
    dataset_id,
    fhir_store_id,
    member,
    role,
    etag=None,
):
    """Sets the IAM policy for the specified FHIR store.
        A single member will be assigned a single role. A member can be any of:
        - allUsers, that is, anyone
        - allAuthenticatedUsers, anyone authenticated with a Google account
        - user:email, as in 'user:[e-mail]'
        - group:email, as in 'group:[e-mail]'
        - domain:domainname, as in 'domain:example.com'
        - serviceAccount:email,
            as in 'serviceAccount:[e-mail]'
        A role can be any IAM role, such as 'roles/viewer', 'roles/owner',
        or 'roles/editor'

    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/fhir
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Instantiates an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the parent dataset's ID
    # fhir_store_id = 'my-fhir-store' # replace with the FHIR store ID
    # member = '[e-mail]'  # replace with an authorized member
    # role = 'roles/viewer'  # replace with a Healthcare API IAM role
    fhir_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    fhir_store_name = f"{fhir_store_parent}/fhirStores/{fhir_store_id}"

    policy = {"bindings": [{"role": role, "members": [member]}]}

    if etag is not None:
        policy["etag"] = etag

    request = (
        client.projects()
        .locations()
        .datasets()
        .fhirStores()
        .setIamPolicy(resource=fhir_store_name, body={"policy": policy})
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    print("bindings: {}".format(response.get("bindings")))
    return response

curl

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.fhirResourceReader binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.fhirResourceReader",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

해당 역할을 부여하도록 정책을 수정한 후 projects.locations.datasets.fhirStores.setIamPolicy를 호출하여 업데이트합니다.

FHIR 저장소 수준 IAM 정책을 설정하려면 POST 요청을 수행하고 데이터 세트 이름, FHIR 저장소 이름, 정책 및 액세스 토큰을 지정합니다.

다음 샘플은 curl를 사용하여 신규 사용자에게 기존 roles/healthcare.fhirResourceReader 역할을 부여하는 POST 요청을 보여줍니다.

여기에 표시된 대로 정책을 요청에 직접 작성하거나 JSON 또는 YAML 파일로 전달할 수 있습니다. 정책 형식을 JSON 또는 YAML로 지정하는 방법의 예시는 Policy를 참조하세요.

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    --data "{
      'policy': {
        'bindings': [
          {
            'role':'roles/healthcare.fhirStoreAdmin',
            'members': [
              'user:[e-mail]'
            ]
          },
          {
            'role':'roles/healthcare.fhirResourceReader',
            'members': [
              'serviceAccount:[e-mail]',
              'user:[e-mail]',
              'user:NEW_USER_EMAIL_ADDRESS'
            ]
          }
        ]
      }
    }" "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/fhirStores/FHIR_STORE_ID:setIamPolicy"

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.fhirStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.fhirResourceViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

PowerShell

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.fhirResourceReader binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.fhirResourceReader",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

해당 역할을 부여하도록 정책을 수정한 후 projects.locations.datasets.fhirStores.setIamPolicy를 호출하여 업데이트합니다.

FHIR 저장소 수준 IAM 정책을 설정하려면 POST 요청을 수행하고 데이터 세트 이름, FHIR 저장소 이름, 정책 및 액세스 토큰을 지정합니다.

다음 샘플은 Windows PowerShell을 사용하여 신규 사용자에게 기존 roles/healthcare.fhirResourceReader 역할을 부여하는 POST 요청을 보여줍니다.

여기에 표시된 대로 정책을 요청에 직접 작성하거나 JSON 또는 YAML 파일로 전달할 수 있습니다. 정책 형식을 JSON 또는 YAML로 지정하는 방법의 예시는 Policy를 참조하세요.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body "{
    'policy': {
      'bindings': [
        {
          'role': 'roles/healthcare.fhirStoreAdmin',
          'members': [
            'user:[e-mail]',
          ]
        },
        {
          'role': 'roles/healthcare.fhirResourceReader',
          'members': [
            'serviceAccount:[e-mail]',
            'user:[e-mail]',
            'user:NEW_USER_EMAIL_ADDRESS'
          ]
        }
      ]
    }
  }" `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/fhirStores/FHIR_STORE_ID:setIamPolicy" | Select-Object -Expand Content

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.fhirStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.fhirResourceViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

HL7v2 저장소에 IAM 사용

다음 섹션에서는 HL7v2 저장소에 대해 정책을 가져오고 수정, 설정하는 방법을 보여줍니다. 이 섹션에서는 다음 샘플 정책이 시작점으로 사용됩니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.hl7V2StoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.hl7V2Consumer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

정책 가져오기

다음 샘플은 HL7v2 저장소 수준 IAM 정책을 읽는 방법을 보여줍니다. 자세한 내용은 projects.locations.datasets.hl7V2Stores.getIamPolicy를 참조하세요.

콘솔

HL7v2 저장소에 대한 IAM 정책을 보려면 다음 안내를 따르세요.

1. Google Cloud 콘솔에서 데이터 세트 페이지로 이동합니다.

   데이터 세트로 이동

2. HL7v2 저장소가 포함된 데이터 세트의 ID를 클릭한 다음 정책을 가져올 HL7v2 저장소를 선택합니다.
3. 정보 패널 표시를 클릭합니다.
4. 역할에 할당된 주 구성원을 보려면 역할을 펼칩니다.

gcloud

HL7v2 저장소에 대한 IAM 정책을 보려면 hl7v2-stores get-iam-policy 명령어를 실행합니다. HL7v2 저장소 이름, 데이터 세트 이름, 위치를 지정합니다.

gcloud healthcare hl7v2-stores get-iam-policy HL7V2_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION

요청이 성공하면 binding이 표시됩니다.

bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.hl7v2StoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  role: roles/healthcare.hl7v2Consumer
etag: bytes
version: VERSION_NUMBER

curl

HL7v2 저장소의 IAM 정책을 읽으려면 GET 요청을 수행하고 데이터 세트 이름, HL7v2 저장소 이름 및 액세스 토큰을 지정합니다.

다음 샘플은 curl을 사용하는 GET 요청을 보여줍니다.

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
     "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/hl7V2Stores/HL7V2_STORE_ID:getIamPolicy"

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.hl7V2StoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.hl7V2Consumer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

PowerShell

HL7v2 저장소의 IAM 정책을 읽으려면 GET 요청을 수행하고 데이터 세트 이름, HL7v2 저장소 이름 및 액세스 토큰을 지정합니다.

다음 샘플은 Windows PowerShell을 사용한 GET 요청을 보여줍니다.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Get `
  -Headers $headers `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/hl7V2Stores/HL7V2_STORE_ID:getIamPolicy" | Select-Object -Expand Content

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.hl7V2StoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.hl7V2Consumer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// hl7V2IAMPolicy gets the IAM policy.
func hl7V2IAMPolicy(w io.Writer, projectID, location, datasetID, hl7V2StoreID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	storesService := healthcareService.Projects.Locations.Datasets.Hl7V2Stores

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s/hl7V2Stores/%s", projectID, location, datasetID, hl7V2StoreID)

	policy, err := storesService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM policy etag: %q\n", policy.Etag)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets.Hl7V2Stores;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Collections;

public class Hl7v2StoreGetIamPolicy {
  private static final String HL7v2_NAME = "projects/%s/locations/%s/datasets/%s/hl7V2Stores/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void hl7v2StoreGetIamPolicy(String hl7v2StoreName) throws IOException {
    // String hl7v2StoreName =
    //    String.format(
    //        HL7v2_NAME, "your-project-id", "your-region-id", "your-dataset-id", "your-hl7v2-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Create request and configure any parameters.
    Hl7V2Stores.GetIamPolicy request =
        client.projects().locations().datasets().hl7V2Stores().getIamPolicy(hl7v2StoreName);

    // Execute the request and process the results.
    Policy policy = request.execute();
    System.out.println("HL7v2 store IAMPolicy retrieved: \n" + policy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const getHl7v2StoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const hl7v2StoreId = 'my-hl7v2-store';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/hl7V2Stores/${hl7v2StoreId}`;
  const request = {resource_};

  const hl7v2Store =
    await healthcare.projects.locations.datasets.hl7V2Stores.getIamPolicy(
      request
    );
  console.log(
    'Got HL7v2 store IAM policy:',
    JSON.stringify(hl7v2Store.data, null, 2)
  );
};

getHl7v2StoreIamPolicy();

Python

def get_hl7v2_store_iam_policy(project_id, location, dataset_id, hl7v2_store_id):
    """Gets the IAM policy for the specified HL7v2 store.

    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/hl7v2
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the HL7v2 store's parent dataset
    # hl7v2_store_id = 'my-hl7v2-store'  # replace with the HL7v2 store's ID
    hl7v2_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    hl7v2_store_name = f"{hl7v2_store_parent}/hl7V2Stores/{hl7v2_store_id}"

    request = (
        client.projects()
        .locations()
        .datasets()
        .hl7V2Stores()
        .getIamPolicy(resource=hl7v2_store_name)
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    return response

정책 수정

다음 샘플은 신규 사용자에게 roles/healthcare.hl7V2Consumer 역할을 부여합니다. 자세한 내용은 projects.locations.datasets.hl7V2Stores.setIamPolicy를 참조하세요.

정책 설정

콘솔

HL7v2 저장소 수준 IAM 정책을 설정하려면 다음 단계를 완료하세요.

1. Google Cloud 콘솔에서 데이터 세트 페이지로 이동합니다.

   데이터 세트로 이동

2. HL7v2 저장소가 포함된 데이터 세트의 ID를 클릭한 다음 정책을 설정할 HL7v2 저장소를 선택합니다.
3. 정보 패널 표시를 클릭합니다.
4. 주 구성원 추가를 클릭합니다.
5. 새 주 구성원 필드에 HL7v2 저장소에 액세스해야 하는 ID를 하나 이상 입력합니다.
6. 역할 선택 목록의 Cloud Healthcare 아래에서 부여할 권한을 선택합니다. 예를 들어 Healthcare HL7v2 메시지 소비자를 선택합니다.
7. 저장을 클릭합니다.

gcloud

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.hl7V2Consumer binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.hl7V2Consumer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

적용 가능한 역할을 부여하기 위해 정책을 수정한 후에는 적절한 set-iam-policy 명령어를 실행하여 변경합니다. HL7v2 저장소 수준 정책을 설정하려면 gcloud healthcare hl7v2-stores set-iam-policy 명령어를 실행합니다. HL7v2 저장소 이름, 데이터 세트 이름, 위치, 생성한 정책 파일의 경로를 지정합니다.

gcloud healthcare hl7v2-stores set-iam-policy HL7V2_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION \
    POLICY_FILE_NAME

요청이 성공하면 HL7v2 저장소 이름과 binding이 표시됩니다.

Updated IAM policy for hl7v2Store [HL7V2_STORE_ID].
bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.hl7v2StoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  - user:NEW_USER_EMAIL_ADDRESS
  role: roles/healthcare.hl7v2Consumer
etag: bytes
version: VERSION_NUMBER

curl

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.hl7V2Consumer binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.hl7V2Consumer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

해당 역할을 부여하도록 정책을 수정한 후 projects.locations.datasets.hl7V2Stores.setIamPolicy를 호출하여 업데이트합니다.

HL7v2 저장소 수준 IAM 정책을 설정하려면 POST 요청을 만들고 데이터 세트 이름, HL7v2 저장소 이름, 정책 및 액세스 토큰을 지정합니다.

다음 샘플은 curl를 사용하여 신규 사용자에게 기존 roles/healthcare.hl7V2Consumer 역할을 부여하는 POST 요청을 보여줍니다.

여기에 표시된 대로 정책을 요청에 직접 작성하거나 JSON 또는 YAML 파일로 전달할 수 있습니다. 정책 형식을 JSON 또는 YAML로 지정하는 방법의 예시는 Policy를 참조하세요.

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    --data "{
      'policy': {
        'bindings': [
          {
            'role':'roles/healthcare.hl7V2StoreAdmin',
            'members': [
              'user:[e-mail]'
            ]
          },
          {
            'role':'roles/healthcare.hl7V2Consumer',
            'members': [
              'serviceAccount:[e-mail]',
              'user:[e-mail]',
              'user:NEW_USER_EMAIL_ADDRESS'
            ]
          }
        ]
      }
    }" "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/hl7V2Stores/HL7V2_STORE_ID:setIamPolicy"

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.hl7V2StoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.hl7V2Consumer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

PowerShell

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 사용자에게 역할을 부여하려면 roles/healthcare.hl7V2Consumer binding 아래의 members 배열에 사용자의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.hl7V2Consumer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

해당 역할을 부여하도록 정책을 수정한 후 projects.locations.datasets.hl7V2Stores.setIamPolicy를 호출하여 업데이트합니다.

HL7v2 저장소 수준 IAM 정책을 설정하려면 POST 요청을 만들고 데이터 세트 이름, HL7v2 저장소 이름, 정책 및 액세스 토큰을 지정합니다.

다음 샘플은 curl를 사용하여 신규 사용자에게 기존 roles/healthcare.hl7V2Consumer 역할을 부여하는 POST 요청을 보여줍니다.

여기에 표시된 대로 정책을 요청에 직접 작성하거나 JSON 또는 YAML 파일로 전달할 수 있습니다. 정책 형식을 JSON 또는 YAML로 지정하는 방법의 예시는 Policy를 참조하세요.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body "{
    'policy': {
      'bindings': [
        {
          'role': 'roles/healthcare.hl7V2StoreAdmin',
          'members': [
            'user:[e-mail]',
          ]
        },
        {
          'role': 'roles/healthcare.hl7V2Consumer',
          'members': [
            'serviceAccount:[e-mail]',
            'user:[e-mail]',
            'user:NEW_USER_EMAIL_ADDRESS'
          ]
        }
      ]
    }
  }" `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/hl7V2Stores/HL7V2_STORE_ID:setIamPolicy" | Select-Object -Expand Content

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.hl7V2StoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.hl7V2Consumer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// setHL7V2IAMPolicy sets an IAM policy.
func setHL7V2IAMPolicy(w io.Writer, projectID, location, datasetID, hl7V2StoreID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	storesService := healthcareService.Projects.Locations.Datasets.Hl7V2Stores

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s/hl7V2Stores/%s", projectID, location, datasetID, hl7V2StoreID)

	policy, err := storesService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	policy.Bindings = append(policy.Bindings, &healthcare.Binding{
		Members: []string{"user:[e-mail]"},
		Role:    "roles/viewer",
	})

	req := &healthcare.SetIamPolicyRequest{
		Policy: policy,
	}

	policy, err = storesService.SetIamPolicy(name, req).Do()
	if err != nil {
		return fmt.Errorf("SetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "Sucessfully set IAM Policy.\n")
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets.Hl7V2Stores;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Binding;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.api.services.healthcare.v1.model.SetIamPolicyRequest;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Arrays;
import java.util.Collections;

public class Hl7v2StoreSetIamPolicy {
  private static final String HL7v2_NAME = "projects/%s/locations/%s/datasets/%s/hl7V2Stores/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void hl7v2StoreSetIamPolicy(String hl7v2StoreName) throws IOException {
    // String hl7v2StoreName =
    //    String.format(
    //        HL7v2_NAME, "your-project-id", "your-region-id", "your-dataset-id", "your-hl7v2-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Configure the IAMPolicy to apply to the store.
    // For more information on understanding IAM roles, see the following:
    // https://cloud.google.com/iam/docs/understanding-roles
    Binding binding =
        new Binding()
            .setRole("roles/healthcare.hl7V2Consumer")
            .setMembers(Arrays.asList("domain:google.com"));
    Policy policy = new Policy().setBindings(Arrays.asList(binding));
    SetIamPolicyRequest policyRequest = new SetIamPolicyRequest().setPolicy(policy);

    // Create request and configure any parameters.
    Hl7V2Stores.SetIamPolicy request =
        client
            .projects()
            .locations()
            .datasets()
            .hl7V2Stores()
            .setIamPolicy(hl7v2StoreName, policyRequest);

    // Execute the request and process the results.
    Policy updatedPolicy = request.execute();
    System.out.println("HL7v2 policy has been updated: " + updatedPolicy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const setHl7v2StoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const dicomStoreId = 'my-dicom-store';
  // const member = 'user:[e-mail]';
  // const role = 'roles/healthcare.hl7V2StoreViewer';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/hl7V2Stores/${hl7v2StoreId}`;
  const request = {
    resource_,
    resource: {
      policy: {
        bindings: [
          {
            members: member,
            role: role,
          },
        ],
      },
    },
  };

  const hl7v2Store =
    await healthcare.projects.locations.datasets.hl7V2Stores.setIamPolicy(
      request
    );
  console.log(
    'Set HL7v2 store IAM policy:',
    JSON.stringify(hl7v2Store.data, null, 2)
  );
};

setHl7v2StoreIamPolicy();

Python

def set_hl7v2_store_iam_policy(
    project_id, location, dataset_id, hl7v2_store_id, member, role, etag=None
):
    """Sets the IAM policy for the specified HL7v2 store.
        A single member will be assigned a single role. A member can be any of:
        - allUsers, that is, anyone
        - allAuthenticatedUsers, anyone authenticated with a Google account
        - user:email, as in 'user:[e-mail]'
        - group:email, as in 'group:[e-mail]'
        - domain:domainname, as in 'domain:example.com'
        - serviceAccount:email,
            as in 'serviceAccount:[e-mail]'
        A role can be any IAM role, such as 'roles/viewer', 'roles/owner',
        or 'roles/editor'.

    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/hl7v2
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the HL7v2 store's parent dataset
    # hl7v2_store_id = 'my-hl7v2-store'  # replace with the HL7v2 store's ID
    # member = '[e-mail]'  # replace with an authorized member
    # role = 'roles/viewer'  # replace with a Healthcare API IAM role
    hl7v2_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    hl7v2_store_name = f"{hl7v2_store_parent}/hl7V2Stores/{hl7v2_store_id}"

    policy = {"bindings": [{"role": role, "members": [member]}]}

    if etag is not None:
        policy["etag"] = etag

    request = (
        client.projects()
        .locations()
        .datasets()
        .hl7V2Stores()
        .setIamPolicy(resource=hl7v2_store_name, body={"policy": policy})
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    print("bindings: {}".format(response.get("bindings")))
    return response

Healthcare Natural Language API에서 IAM 사용

다음 섹션에서는 Healthcare Natural Language API의 정책을 가져오고 수정하며 설정하는 방법을 보여줍니다. 이 섹션에서는 다음 샘플 정책이 시작점으로 사용됩니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.nlpServiceViewer",
      "members": [
        "serviceAccount:[e-mail]"
      ]
    }
  ]
}

정책 가져오기

다음 샘플은 프로젝트 수준의 IAM 정책을 읽는 방법을 보여줍니다. 자세한 내용은 projects.getIamPolicy 메서드를 참조하세요.

curl

프로젝트의 IAM 정책을 읽으려면 POST 요청을 수행하고 프로젝트 이름과 액세스 토큰을 지정합니다.

다음 샘플은 curl을 사용하는 POST 요청을 보여줍니다.

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
     "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy"

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.nlpServiceViewer",
      "members": [
        "serviceAccount:[e-mail]"
      ]
    }
  ]
}

PowerShell

프로젝트의 IAM 정책을 보려면 POST 요청을 실행하고 프로젝트 이름과 액세스 토큰을 지정합니다.

다음 샘플은 Windows PowerShell을 사용한 POST 요청을 보여줍니다.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -Uri "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy" | Select-Object -Expand Content

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.nlpServiceViewer",
      "members": [
        "serviceAccount:[e-mail]"
      ]
    }
  ]
}

콘솔

프로젝트의 IAM 정책을 보려면 다음 단계를 완료하세요.

1. Google Cloud 콘솔에서 IAM 페이지로 이동합니다.

   IAM으로 이동

2. 역할에 할당된 주 구성원을 보려면 역할을 클릭한 다음 역할을 펼칩니다.

gcloud

프로젝트의 IAM 정책을 보려면 gcloud projects get-iam-policy 명령어를 실행합니다. 요청에 프로젝트 이름을 지정합니다.

gcloud projects get-iam-policy PROJECT_ID 

요청이 성공하면 binding이 표시됩니다.

bindings:
- members:
  - serviceAccount:[e-mail]
  role: roles/healthcare.nlpServiceViewer
etag: bytes
version: VERSION_NUMBER

정책 수정

다음 샘플에서는 서비스에 roles/healthcare.nlpServiceViewer 역할을 부여합니다. 자세한 내용은 projects.setIamPolicy를 참조하세요.

정책 설정

콘솔

프로젝트 수준의 IAM 정책을 설정하려면 다음 단계를 완료하세요.

1. Google Cloud 콘솔에서 IAM 페이지로 이동합니다.

   IAM으로 이동

2. 주 구성원 옆에 있는 수정 버튼을 클릭하거나 주 구성원 추가를 클릭한 후 새 주 구성원 필드에서 프로젝트에 액세스해야 하는 ID를 하나 이상 입력합니다.
3. 역할 선택 목록의 Cloud Healthcare에서 Healthcare Natural Language 서비스 뷰어를 선택합니다.
4. 저장을 클릭합니다.

gcloud

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 서비스 계정에 역할을 부여하려면 roles/healthcare.nlpServiceViewer 바인딩 아래의 members 배열에 서비스 계정의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.nlpServiceViewer",
  "members": [
      "serviceAccount:[e-mail]",
      "serviceAccount:NEW_SERVICE_ACCOUNT_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

적용 가능한 역할을 부여하기 위해 정책을 수정한 후에는 gcloud projects set-iam-policy 명령어를 실행하여 변경합니다. 프로젝트와 사용자가 만든 정책 파일의 경로를 지정합니다.

gcloud projects set-iam-policy PROJECT_STORE_ID \
    POLICY_FILE_NAME 

요청이 성공하면 프로젝트 이름과 결합이 표시됩니다.

Updated IAM policy for project [PROJECT_ID].
bindings:
- members:
  - serviceAccount:[e-mail]
  - serviceAccount:NEW_USER_EMAIL_ADDRESS
  role: roles/healthcare.nlpServiceViewer
etag: bytes
version: VERSION_NUMBER

curl

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 서비스 계정에 역할을 부여하려면 roles/healthcare.nlpServiceViewer 바인딩 아래의 members 배열에 서비스 계정의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.nlpServiceViewer",
  "members": [
      "serviceAccount:[e-mail]",
      "serviceAccount:NEW_SERVICE_ACCOUNT_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

해당 역할을 부여하도록 정책을 수정한 후 projects.setIamPolicy를 호출하여 업데이트합니다.

프로젝트 수준의 IAM 정책을 설정하려면 POST 요청을 수행하고 프로젝트 이름, 정책 및 액세스 토큰을 지정합니다.

다음 샘플은 curl를 사용하여 신규 사용자에게 기존 roles/healthcare.nlpServiceViewer 역할을 부여하는 POST 요청을 보여줍니다.

여기에 표시된 대로 정책을 요청에 직접 작성하거나 JSON 또는 YAML 파일로 전달할 수 있습니다. 정책 형식을 JSON 또는 YAML로 지정하는 방법의 예시는 Policy를 참조하세요.

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    --data "{
      'policy': {
        'bindings': [
          {
            'role':'roles/healthcare.nlpServiceViewer',
            'members': [
              'serviceAccount:[e-mail]'
            ]
          }
        ]
      }
    }" "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy"

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.nlpServiceViewer",
      "members": [
        "serviceAccount:[e-mail]"
      ]
    }
  ]
}

PowerShell

검색한 정책을 수정하거나 프로그래매틱 방식으로 또는 텍스트 편집기를 사용하여 사용자에게 역할을 부여하거나 취소합니다. 정책이 변경되면 etag 값이 변경되므로 현재 값을 지정해야 합니다.

새 서비스 계정에 역할을 부여하려면 roles/healthcare.nlpServiceViewer 바인딩 아래의 members 배열에 서비스 계정의 이메일 주소를 추가합니다.

{
  "role":"roles/healthcare.nlpServiceViewer",
  "members": [
      "serviceAccount:[e-mail]",
      "serviceAccount:NEW_SERVICE_ACCOUNT_EMAIL_ADDRESS"
  ]
}

주 구성원의 액세스 권한을 취소하려면 members 배열에서 해당 이메일 주소를 삭제합니다. 역할이 있는 마지막 주 구성원의 액세스 권한을 취소하려면 역할의 bindings 배열을 삭제합니다. 정책에 빈 bindings 배열이 있을 수 없습니다.

해당 역할을 부여하도록 정책을 수정한 후 projects.setIamPolicy를 호출하여 업데이트합니다.

프로젝트 수준의 IAM 정책을 설정하려면 POST 요청을 수행하고 프로젝트 이름, 정책 및 액세스 토큰을 지정합니다.

다음 샘플은 curl를 사용하여 신규 사용자에게 기존 roles/healthcare.nlpServiceViewer 역할을 부여하는 POST 요청을 보여줍니다.

여기에 표시된 대로 정책을 요청에 직접 작성하거나 JSON 또는 YAML 파일로 전달할 수 있습니다. 정책 형식을 JSON 또는 YAML로 지정하는 방법의 예시는 Policy를 참조하세요.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body "{
    'policy': {
      'bindings': [
        {
          'role': 'roles/healthcare.nlpServiceViewer',
          'members': [
            'serviceAccount:[e-mail]',
            'serviceAccount:NEW_USER_EMAIL_ADDRESS'
          ]
        }
      ]
    }
  }" `
  -Uri "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy" | Select-Object -Expand Content

응답은 다음과 같습니다.

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.nlpServiceViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "serviceAccount:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

다음 단계

• IAM 정책을 사용하여 읽기-수정-쓰기 패턴에 대해 알아보기
• 사용 가능한 Cloud Healthcare API 역할 보기