Controllo dell'accesso alle risorse dell'API Cloud Healthcare

Questa pagina descrive come controllare l'accesso ai set di dati e agli archivi di dati dell'API Cloud Healthcare utilizzando le autorizzazioni Identity and Access Management (IAM). IAM consente di controllare chi può accedere ai tuoi set di dati e datastore. Per saperne di più su IAM per l'API Cloud Healthcare, consulta Controllo dell'accesso.

Panoramica dei criteri IAM

L'accesso a una risorsa è gestito tramite un criterio IAM. Un criterio contiene un array, chiamato bindings. Questo array contiene una raccolta di associazioni, ovvero associazioni tra entità, come un account utente o un account di servizio, e un ruolo. I criterio sono rappresentati mediante il formato JSON o YAML.

Il seguente criterio di esempio mostra a [e-mail] a cui è stato concesso il ruolo roles/healthcare.datasetAdmin, mentre a [e-mail] e a [e-mail] è stato concesso il ruolo roles/healthcare.datasetViewer:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.datasetAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.datasetViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

Per aggiornare un criterio per una risorsa, utilizza il pattern read-modify-write. Non esistono metodi separati per creare, modificare e revocare l'accesso utente.

Per aggiornare un criterio:

1. Leggi il criterio attuale chiamando il metodo getIamPolicy() della risorsa. Ad esempio, per leggere il criterio attuale di un set di dati, chiama projects.locations.datasets.getIamPolicy.
2. Modifica il criterio restituito utilizzando un editor di testo o in modo programmatico per aggiungere o rimuovere eventuali entità applicabili e i relativi ruoli concessi.
3. Scrivi il criterio aggiornato chiamando il metodo setIamPolicy() della risorsa. Ad esempio, per scrivere il criterio aggiornato di un set di dati, chiama projects.locations.datasets.setIamPolicy.

Utilizzo di IAM con gli archivi di consensi

Le sezioni seguenti mostrano come ottenere, modificare e impostare un criterio per un archivio di consensi. In queste sezioni viene utilizzato il seguente criterio di esempio come punto di partenza:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.consentStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.consentReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

Recupero di un criterio

Gli esempi riportati di seguito mostrano come leggere un criterio IAM a livello di archivio di consensi. Per maggiori informazioni, consulta projects.locations.datasets.consentStores.getIamPolicy.

Console

Per visualizzare il criterio IAM per un archivio di consensi:

1. Nella console Google Cloud, vai alla pagina Set di dati.

   Vai a Set di dati

2. Fai clic sull'ID del set di dati che contiene l'archivio di consensi, poi seleziona quello per cui vuoi ottenere un criterio.
3. Fai clic su Mostra riquadro informazioni.
4. Per visualizzare le entità assegnate a un ruolo, espandi il ruolo.

gcloud

Per visualizzare il criterio IAM per un archivio di consensi, esegui il comando gcloud healthcare consent-stores get-iam-policy. Specifica il nome dell'archivio di consensi, il nome del set di dati e la località.

gcloud healthcare consent-stores get-iam-policy CONSENT_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION

Se la richiesta ha esito positivo, vengono visualizzate le associazioni.

bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.consentStoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  role: roles/healthcare.consentReader
etag: bytes
version: VERSION_NUMBER

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const getConsentStoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const consentStoreId = 'my-consent-store';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/consentStores/${consentStoreId}`;
  const request = {resource_};

  const consentStore =
    await healthcare.projects.locations.datasets.consentStores.getIamPolicy(
      request
    );
  console.log(
    'Got consent store IAM policy:',
    JSON.stringify(consentStore.data, null, 2)
  );
};

getConsentStoreIamPolicy();

Python

def get_consent_store_iam_policy(
    project_id: str, location: str, dataset_id: str, consent_store_id: str
):
    """Gets the IAM policy for the specified consent store.
    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/consent
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the consent store's parent dataset ID
    # consent_store_id = 'my-consent-store'  # replace with the consent store's ID
    consent_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    consent_store_name = "{}/consentStores/{}".format(
        consent_store_parent, consent_store_id
    )

    request = (
        client.projects()
        .locations()
        .datasets()
        .consentStores()
        .getIamPolicy(resource=consent_store_name)
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    return response

curl

Per leggere il criterio IAM per un archivio di consensi, effettua una richiesta GET e specifica il nome del set di dati, il nome dell'archivio di consensi e un token di accesso.

Il seguente esempio mostra una richiesta GET che utilizza curl:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
     "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/consentStores/CONSENT_STORE_ID:getIamPolicy"

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.consentStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.consentReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

PowerShell

Per leggere il criterio IAM per un archivio di consensi, effettua una richiesta GET e specifica il nome del set di dati, il nome dell'archivio di consensi e un token di accesso.

Il seguente esempio mostra una richiesta GET mediante Windows PowerShell:

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Get `
  -Headers $headers `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/consentStores/CONSENT_STORE_ID:getIamPolicy" | Select-Object -Expand Content

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.consentStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.consentReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

Modifica di un criterio

Gli esempi riportati di seguito concedono il ruolo roles/healthcare.consentReader a un nuovo utente. Per ulteriori informazioni, vedi projects.locations.datasets.consentStores.setIamPolicy.

Impostazione di un criterio

Console

Per impostare un criterio IAM a livello di archivio di consensi, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Set di dati.

   Vai a Set di dati

2. Fai clic sull'ID del set di dati che contiene l'archivio di consensi, poi seleziona quello per cui vuoi impostare un criterio.
3. Fai clic su Mostra riquadro informazioni.
4. Fai clic su Aggiungi entità.
5. Nel campo Nuove entità, inserisci una o più identità che devono accedere all'archivio di consensi.
6. Nell'elenco Seleziona un ruolo, in Cloud Healthcare, seleziona l'autorizzazione che vuoi concedere. Ad esempio, Visualizzatore archivio consensi Healthcare.
7. Fai clic su Salva.

gcloud

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.consentReader:

{
  "role":"roles/healthcare.consentReader",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, esegui il comando set-iam-policy appropriato per apportare le modifiche. Per impostare un criterio a livello di archivio di consenso, esegui il comando gcloud healthcare consent-stores set-iam-policy. Specifica il nome dell'archivio di consensi, il nome del set di dati, la località e il percorso del file dei criteri che hai creato.

gcloud healthcare consent-stores set-iam-policy CONSENT_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION \
    POLICY_FILE_NAME

Se la richiesta ha esito positivo, vengono visualizzati il nome dell'archivio di consensi e le associazioni.

Updated IAM policy for consentStore [CONSENT_STORE_ID].
bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.consentStoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  - user:NEW_USER_EMAIL_ADDRESS
  role: roles/healthcare.consentReader
etag: bytes
version: VERSION_NUMBER

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const setConsentStoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const consentStoreId = 'my-consent-store';
  // const member = 'user:[e-mail]';
  // const role = 'roles/healthcare.consentStoreViewer';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/consentStores/${consentStoreId}`;
  const request = {
    resource_,
    resource: {
      policy: {
        bindings: [
          {
            members: member,
            role: role,
          },
        ],
      },
    },
  };

  const consentStore =
    await healthcare.projects.locations.datasets.consentStores.setIamPolicy(
      request
    );
  console.log(
    'Set consent store IAM policy:',
    JSON.stringify(consentStore.data, null, 2)
  );
};

setConsentStoreIamPolicy();

Python

def set_consent_store_iam_policy(
    project_id: str,
    location: str,
    dataset_id: str,
    consent_store_id: str,
    member,
    role,
    etag=None,
):
    """Sets the IAM policy for the specified consent store.
    A single member will be assigned a single role. A member can be any of:
    - allUsers, that is, anyone
    - allAuthenticatedUsers, anyone authenticated with a Google account
    - user:email, as in 'user:[e-mail]'
    - group:email, as in 'group:[e-mail]'
    - domain:domainname, as in 'domain:example.com'
    - serviceAccount:email,
        as in 'serviceAccount:[e-mail]'
    A role can be any IAM role, such as 'roles/viewer', 'roles/owner',
    or 'roles/editor'
    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/consent
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the consent store's parent dataset ID
    # consent_store_id = 'my-consent-store'  # replace with the consent store's ID
    # member = '[e-mail]'  # replace with an authorized member
    # role = 'roles/viewer'  # replace with a Healthcare API IAM role
    consent_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    consent_store_name = "{}/consentStores/{}".format(
        consent_store_parent, consent_store_id
    )

    policy = {"bindings": [{"role": role, "members": [member]}]}

    if etag is not None:
        policy["etag"] = etag

    request = (
        client.projects()
        .locations()
        .datasets()
        .consentStores()
        .setIamPolicy(resource=consent_store_name, body={"policy": policy})
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    print("bindings: {}".format(response.get("bindings")))
    return response

curl

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.consentReader:

{
  "role":"roles/healthcare.consentReader",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, chiama projects.locations.datasets.consentStores.setIamPolicy per apportare gli aggiornamenti.

Per impostare un criterio IAM a livello di archivio di consensi, effettua una richiesta POST e specifica il nome del set di dati, il nome dell'archivio di consensi, il criterio e un token di accesso.

Il seguente esempio mostra una richiesta POST mediante curl per concedere a un nuovo utente il ruolo roles/healthcare.consentReader esistente:

I criteri possono essere scritti direttamente nella richiesta, come mostrato qui, oppure essere passati come file JSON o YAML. Per esempi su come formattare un criterio come JSON o YAML, vedi Policy.

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    --data "{
      'policy': {
        'bindings': [
          {
            'role':'roles/healthcare.consentStoreAdmin',
            'members': [
              'user:[e-mail]'
            ]
          },
          {
            'role':'roles/healthcare.consentReader',
            'members': [
              'serviceAccount:[e-mail]',
              'user:[e-mail]',
              'user:NEW_USER_EMAIL_ADDRESS'
            ]
          }
        ]
      }
    }" "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/consentStores/CONSENT_STORE_ID:setIamPolicy"

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.consentStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.consentReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

PowerShell

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.consentReader:

{
  "role":"roles/healthcare.consentReader",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, chiama projects.locations.datasets.consentStores.setIamPolicy per apportare gli aggiornamenti.

Per impostare un criterio IAM a livello di archivio di consensi, effettua una richiesta POST e specifica il nome del set di dati, il nome dell'archivio di consensi, il criterio e un token di accesso.

L'esempio seguente mostra una richiesta POST mediante Windows PowerShell per concedere a un nuovo utente il ruolo roles/healthcare.consentReader esistente:

I criteri possono essere scritti direttamente nella richiesta, come mostrato qui, oppure essere passati come file JSON o YAML. Per esempi su come formattare un criterio come JSON o YAML, vedi Policy.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body "{
    'policy': {
      'bindings': [
        {
          'role': 'roles/healthcare.consentStoreAdmin',
          'members': [
            'user:[e-mail]',
          ]
        },
        {
          'role': 'roles/healthcare.consentReader',
          'members': [
            'serviceAccount:[e-mail]',
            'user:[e-mail]',
            'user:NEW_USER_EMAIL_ADDRESS'
          ]
        }
      ]
    }
  }" `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/consentStores/CONSENT_STORE_ID:setIamPolicy" | Select-Object -Expand Content

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.consentStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.consentReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

Utilizzo di IAM con i set di dati

Le sezioni riportate di seguito descrivono come recuperare, modificare e impostare un criterio per un set di dati. In queste sezioni viene utilizzato il seguente criterio di esempio come punto di partenza:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.datasetAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.datasetViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

Recupero di un criterio

I seguenti esempi mostrano come leggere un criterio IAM a livello di set di dati. Per maggiori informazioni, consulta projects.locations.datasets.getIamPolicy.

curl

Per leggere il criterio IAM per un set di dati, effettua una richiesta GET e specifica il nome del set di dati e un token di accesso.

Il seguente esempio mostra una richiesta GET che utilizza curl:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
     "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID:getIamPolicy"

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.datasetAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.datasetViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

PowerShell

Per visualizzare il criterio IAM per un set di dati, effettua una richiesta GET e specifica il nome del set di dati e un token di accesso.

Il seguente esempio mostra una richiesta GET mediante Windows PowerShell:

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Get `
  -Headers $headers `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID:getIamPolicy" | Select-Object -Expand Content

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.datasetAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.datasetViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

Console

Per visualizzare il criterio IAM per un set di dati:

1. Nella console Google Cloud, vai alla pagina Set di dati.

   Vai a Set di dati

2. Seleziona un set di dati e fai clic su Mostra riquadro informazioni.
3. Per visualizzare le entità assegnate a un ruolo, espandi il ruolo.

gcloud

Per visualizzare il criterio IAM per un set di dati, esegui il comando gcloud healthcare datasets get-iam-policy. Specifica il nome e la località del set di dati.

gcloud healthcare datasets get-iam-policy DATASET_ID \
    --location=LOCATION

Se la richiesta ha esito positivo, vengono visualizzate le associazioni.

bindings:
- members:
  - serviceAccount:[e-mail]
  - user:[e-mail]
  role: roles/healthcare.datasetViewer
etag: bytes
version: VERSION_NUMBER

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// datasetIAMPolicy gets the dataset's IAM policy.
func datasetIAMPolicy(w io.Writer, projectID, location, datasetID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	datasetsService := healthcareService.Projects.Locations.Datasets

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s", projectID, location, datasetID)

	policy, err := datasetsService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM Policy etag: %v\n", policy.Etag)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Collections;

public class DatasetGetIamPolicy {
  private static final String DATASET_NAME = "projects/%s/locations/%s/datasets/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void datasetGetIamPolicy(String datasetName) throws IOException {
    // String datasetName =
    //     String.format(DATASET_NAME, "your-project-id", "your-region-id", "your-dataset-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Create request and configure any parameters.
    Datasets.GetIamPolicy request =
        client.projects().locations().datasets().getIamPolicy(datasetName);

    // Execute the request and process the results.
    Policy policy = request.execute();
    System.out.println("Dataset IAMPolicy retrieved: \n" + policy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const getDatasetIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}`;
  const request = {resource_};

  const dataset =
    await healthcare.projects.locations.datasets.getIamPolicy(request);
  console.log(
    'Got dataset IAM policy:',
    JSON.stringify(dataset.data, null, 2)
  );
};

getDatasetIamPolicy();

Python

# Imports the Dict and Any types for runtime type hints.
from typing import Any, Dict

def get_dataset_iam_policy(
    project_id: str, location: str, dataset_id: str
) -> Dict[str, Any]:
    """Gets the IAM policy for the specified dataset.

    See
    https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/datasets
    before running the sample.
    See https://googleapis.github.io/google-api-python-client/docs/dyn/healthcare_v1.projects.locations.datasets.html#getIamPolicy
    for the Python API reference.

    Args:
      project_id: The project ID or project number of the Google Cloud project you want
          to use.
      location: The name of the dataset's location.
      dataset_id: The ID of the dataset containing the IAM policy to get.

    Returns:
      A dictionary representing an IAM policy.
    """
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    # Imports HttpError from the Google Python API client errors module.
    from googleapiclient.errors import HttpError

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'
    # location = 'us-central1'
    # dataset_id = 'my-dataset'
    dataset_name = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )

    request = (
        client.projects().locations().datasets().getIamPolicy(resource=dataset_name)
    )

    try:
        response = request.execute()
        print("etag: {}".format(response.get("name")))
        return response
    except HttpError as err:
        raise err

Modifica di un criterio

I seguenti esempi assegnano a un nuovo utente il ruolo roles/healthcare.datasetViewer:

Impostazione di un criterio

Console

Per impostare un criterio IAM a livello di set di dati, completa questi passaggi:

1. Nella console Google Cloud, vai alla pagina Set di dati.

   Vai a Set di dati

2. Seleziona il set di dati per cui vuoi impostare un criterio e poi fai clic su Mostra riquadro informazioni.
3. Fai clic su Aggiungi entità.
4. Nel campo Nuove entità, inserisci una o più identità che devono accedere al set di dati.
5. Nell'elenco Seleziona un ruolo, in Cloud Healthcare, seleziona l'autorizzazione che vuoi concedere. Ad esempio, Healthcare Dataset Viewer.
6. Fai clic su Salva.

gcloud

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.datasetViewer:

{
  "role":"roles/healthcare.datasetViewer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, esegui il comando set-iam-policy appropriato per apportare le modifiche. Per impostare un criterio a livello di set di dati, esegui il comando gcloud healthcare datasets set-iam-policy. Specifica il nome del set di dati, la posizione e il percorso del file del criterio che hai creato.

gcloud healthcare datasets set-iam-policy DATASET_ID \
    --location=LOCATION \
    POLICY_FILE_NAME

Se la richiesta ha esito positivo, vengono visualizzati il nome del set di dati e le associazioni.

Updated IAM policy for dataset [DATASET_ID].
bindings:
- members:
  - serviceAccount:[e-mail]
  - user:[e-mail]
  role: roles/healthcare.datasetAdmin
  - user:[e-mail]
  - user:NEW_USER_EMAIL_ADDRESS
  role: roles/healthcare.datasetViewer
etag: bytes
version: VERSION_NUMBER

curl

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.datasetViewer:

{
  "role":"roles/healthcare.datasetViewer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, chiama projects.locations.datasets.setIamPolicy per apportare gli aggiornamenti.

Per impostare un criterio IAM a livello di set di dati, effettua una richiesta POST e specifica il nome del set di dati, il criterio e un token di accesso.

Il seguente esempio mostra una richiesta POST mediante curl per concedere a un nuovo utente il ruolo roles/healthcare.datasetViewer esistente:

I criteri possono essere scritti direttamente nella richiesta, come mostrato qui, oppure essere passati come file JSON o YAML. Per esempi su come formattare un criterio come JSON o YAML, vedi Policy.

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    --data "{
      'policy': {
        'bindings': [
          {
            'role':'roles/healthcare.datasetAdmin',
            'members': [
              'user:[e-mail]'
            ]
          },
          {
            'role':'roles/healthcare.datasetViewer',
            'members': [
              'serviceAccount:[e-mail]',
              'user:[e-mail]',
              'user:NEW_USER_EMAIL_ADDRESS'
            ]
          }
        ]
      }
    }" "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID:setIamPolicy"

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.datasetAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.datasetViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

PowerShell

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.datasetViewer:

{
  "role":"roles/healthcare.datasetViewer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, chiama projects.locations.datasets.setIamPolicy per apportare gli aggiornamenti.

Per impostare un criterio IAM a livello di set di dati, effettua una richiesta POST e specifica il nome del set di dati, il criterio e un token di accesso.

L'esempio seguente mostra una richiesta POST mediante Windows PowerShell per concedere a un nuovo utente il ruolo roles/healthcare.datasetViewer esistente:

I criteri possono essere scritti direttamente nella richiesta, come mostrato qui, oppure essere passati come file JSON o YAML. Per esempi su come formattare un criterio come JSON o YAML, vedi Policy.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body "{
    'policy': {
      'bindings': [
        {
          'role': 'roles/healthcare.datasetAdmin',
          'members': [
            'user:[e-mail]'
          ]
        },
        {
          'role': 'roles/healthcare.datasetViewer',
          'members': [
            'serviceAccount:[e-mail]',
            'user:[e-mail]',
            'user:NEW_USER_EMAIL_ADDRESS'
          ]
        }
      ]
    }
  }" `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID:setIamPolicy" | Select-Object -Expand Content

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.datasetAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.datasetViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// setDatasetIAMPolicy sets an IAM policy for the dataset.
func setDatasetIAMPolicy(w io.Writer, projectID, location, datasetID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	datasetsService := healthcareService.Projects.Locations.Datasets

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s", projectID, location, datasetID)

	policy, err := datasetsService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	policy.Bindings = append(policy.Bindings, &healthcare.Binding{
		Members: []string{"user:[e-mail]"},
		Role:    "roles/viewer",
	})

	req := &healthcare.SetIamPolicyRequest{
		Policy: policy,
	}

	policy, err = datasetsService.SetIamPolicy(name, req).Do()
	if err != nil {
		return fmt.Errorf("SetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM Policy etag: %v", policy.Etag)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Binding;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.api.services.healthcare.v1.model.SetIamPolicyRequest;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Arrays;
import java.util.Collections;

public class DatasetSetIamPolicy {
  private static final String DATASET_NAME = "projects/%s/locations/%s/datasets/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void datasetSetIamPolicy(String datasetName) throws IOException {
    // String datasetName =
    //     String.format(DATASET_NAME, "your-project-id", "your-region-id", "your-dataset-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Configure the IAMPolicy to apply to the dataset.
    // For more information on understanding IAM roles, see the following:
    // https://cloud.google.com/iam/docs/understanding-roles
    Binding binding =
        new Binding()
            .setRole("roles/healthcare.datasetViewer")
            .setMembers(Arrays.asList("domain:google.com"));
    Policy policy = new Policy().setBindings(Arrays.asList(binding));
    SetIamPolicyRequest policyRequest = new SetIamPolicyRequest().setPolicy(policy);

    // Create request and configure any parameters.
    Datasets.SetIamPolicy request =
        client.projects().locations().datasets().setIamPolicy(datasetName, policyRequest);

    // Execute the request and process the results.
    Policy updatedPolicy = request.execute();
    System.out.println("Dataset policy has been updated: " + updatedPolicy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const setDatasetIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const member = 'user:[e-mail]';
  // const role = 'roles/healthcare.datasetViewer';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}`;
  const request = {
    resource_,
    resource: {
      policy: {
        bindings: [
          {
            members: member,
            role: role,
          },
        ],
      },
    },
  };

  const dataset =
    await healthcare.projects.locations.datasets.setIamPolicy(request);
  console.log(
    'Set dataset IAM policy:',
    JSON.stringify(dataset.data, null, 2)
  );
};

setDatasetIamPolicy();

Python

# Imports the Dict and Any types for runtime type hints.
from typing import Any, Dict

def set_dataset_iam_policy(
    project_id: str,
    location: str,
    dataset_id: str,
    member: str,
    role: str,
    etag: str = None,
) -> Dict[str, Any]:
    """Sets the IAM policy for the specified dataset.

        A single member will be assigned a single role. A member can be any of:

        - allUsers, that is, anyone
        - allAuthenticatedUsers, anyone authenticated with a Google account
        - user:email, as in 'user:[e-mail]'
        - group:email, as in 'group:[e-mail]'
        - domain:domainname, as in 'domain:example.com'
        - serviceAccount:email,
            as in 'serviceAccount:[e-mail]'

        A role can be any IAM role, such as 'roles/viewer', 'roles/owner',
        or 'roles/editor'

    See
    https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/datasets
    before running the sample.
    See https://googleapis.github.io/google-api-python-client/docs/dyn/healthcare_v1.projects.locations.datasets.html#setIamPolicy
    for the Python API reference.

    Args:
      project_id: The project ID or project number of the Google Cloud project you want
          to use.
      location: The name of the dataset's location.
      dataset_id: The ID of the dataset containing the IAM policy to set.
      member: The principals to grant access for a Google Cloud resource.
      role: The role to assign to the list of 'members'.
      etag: The 'etag' returned in a previous getIamPolicy request to ensure that
        setIamPolicy changes apply to the same policy version.

    Returns:
      A dictionary representing an IAM policy.
    """
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    # Imports HttpError from the Google Python API client errors module.
    from googleapiclient.errors import HttpError

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'
    # location = 'us-central1'
    # dataset_id = 'my-dataset'
    dataset_name = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )

    # TODO(developer): Uncomment these lines and replace with your values.
    # role = 'roles/viewer'
    # member = 'serviceAccount:[e-mail]'
    policy = {"bindings": [{"role": role, "members": [member]}]}

    if etag is not None:
        policy["etag"] = etag

    request = (
        client.projects()
        .locations()
        .datasets()
        .setIamPolicy(resource=dataset_name, body={"policy": policy})
    )
    try:
        response = request.execute()
        print("etag: {}".format(response.get("name")))
        print("bindings: {}".format(response.get("bindings")))
        return response
    except HttpError as err:
        raise err

Utilizzo di IAM con gli archivi DICOM

Le sezioni riportate di seguito descrivono come recuperare, modificare e impostare un criterio per un archivio DICOM. In queste sezioni viene utilizzato il seguente criterio di esempio come punto di partenza:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.dicomStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.dicomViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

Recupero di un criterio

Gli esempi riportati di seguito mostrano come leggere un criterio IAM a livello di archivio DICOM. Per maggiori informazioni, consulta projects.locations.datasets.dicomStores.getIamPolicy.

Console

Per visualizzare il criterio IAM per un archivio DICOM:

1. Nella console Google Cloud, vai alla pagina Set di dati.

   Vai a Set di dati

2. Fai clic sull'ID del set di dati che contiene l'archivio DICOM, quindi seleziona l'archivio DICOM per cui vuoi ottenere un criterio.
3. Fai clic su Mostra riquadro informazioni.
4. Per visualizzare le entità assegnate a un ruolo, espandi il ruolo.

gcloud

Per visualizzare il criterio IAM per un archivio DICOM, esegui il comando gcloud healthcare dicom-stores get-iam-policy. Specifica il nome dell'archivio DICOM, il nome del set di dati e la località.

gcloud healthcare dicom-stores get-iam-policy DICOM_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION

Se la richiesta ha esito positivo, vengono visualizzate le associazioni.

bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.dicomStoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  role: roles/healthcare.dicomViewer
etag: bytes
version: VERSION_NUMBER

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// getDICOMIAMPolicy gets the DICOM store's IAM policy.
func getDICOMIAMPolicy(w io.Writer, projectID, location, datasetID, dicomStoreID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	dicomService := healthcareService.Projects.Locations.Datasets.DicomStores

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s/dicomStores/%s", projectID, location, datasetID, dicomStoreID)

	policy, err := dicomService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM Policy etag: %v\n", policy.Etag)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets.DicomStores;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Collections;

public class DicomStoreGetIamPolicy {
  private static final String DICOM_NAME = "projects/%s/locations/%s/datasets/%s/dicomStores/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void dicomStoreGetIamPolicy(String dicomStoreName) throws IOException {
    // String dicomStoreName =
    //    String.format(
    //        DICOM_NAME, "your-project-id", "your-region-id", "your-dataset-id", "your-dicom-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Create request and configure any parameters.
    DicomStores.GetIamPolicy request =
        client.projects().locations().datasets().dicomStores().getIamPolicy(dicomStoreName);

    // Execute the request and process the results.
    Policy policy = request.execute();
    System.out.println("DICOM store IAMPolicy retrieved: \n" + policy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const getDicomStoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const dicomStoreId = 'my-dicom-store';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/dicomStores/${dicomStoreId}`;
  const request = {resource_};

  const dicomStore =
    await healthcare.projects.locations.datasets.dicomStores.getIamPolicy(
      request
    );
  console.log(
    'Got DICOM store IAM policy:',
    JSON.stringify(dicomStore.data, null, 2)
  );
};

getDicomStoreIamPolicy();

Python

def get_dicom_store_iam_policy(project_id, location, dataset_id, dicom_store_id):
    """Gets the IAM policy for the specified DICOM store.

    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/dicom
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the DICOM store's parent dataset ID
    # dicom_store_id = 'my-dicom-store'  # replace with the DICOM store's ID
    dicom_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    dicom_store_name = f"{dicom_store_parent}/dicomStores/{dicom_store_id}"

    request = (
        client.projects()
        .locations()
        .datasets()
        .dicomStores()
        .getIamPolicy(resource=dicom_store_name)
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    return response

curl

Per leggere il criterio IAM per un archivio DICOM, effettua una richiesta GET e specifica il nome del set di dati, il nome dell'archivio DICOM e un token di accesso.

Il seguente esempio mostra una richiesta GET che utilizza curl:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
     "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/dicomStores/DICOM_STORE_ID:getIamPolicy"

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.dicomStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.dicomViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

PowerShell

Per leggere il criterio IAM per un archivio DICOM, effettua una richiesta GET e specifica il nome del set di dati, il nome dell'archivio DICOM e un token di accesso.

Il seguente esempio mostra una richiesta GET mediante Windows PowerShell:

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Get `
  -Headers $headers `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/dicomStores/DICOM_STORE_ID:getIamPolicy" | Select-Object -Expand Content

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.dicomStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.dicomViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

Modifica di un criterio

Gli esempi riportati di seguito concedono il ruolo roles/healthcare.dicomViewer a un nuovo utente. Per ulteriori informazioni, vedi projects.locations.datasets.dicomStores.setIamPolicy.

Impostazione di un criterio

Console

Per impostare un criterio IAM a livello di archivio DICOM, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Set di dati.

   Vai a Set di dati

2. Fai clic sull'ID del set di dati che contiene l'archivio DICOM, quindi seleziona l'archivio DICOM per cui vuoi impostare un criterio.
3. Fai clic su Mostra riquadro informazioni.
4. Fai clic su Aggiungi entità.
5. Nel campo Nuove entità, inserisci una o più identità che devono accedere all'archivio DICOM.
6. Nell'elenco Seleziona un ruolo, in Cloud Healthcare, seleziona l'autorizzazione che vuoi concedere. Ad esempio, Visualizzatore archiviazione DICOM Healthcare.
7. Fai clic su Salva.

gcloud

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.dicomViewer:

{
  "role":"roles/healthcare.dicomViewer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, esegui il comando set-iam-policy appropriato per apportare le modifiche. Per impostare un criterio a livello di archivio DICOM, esegui il comando gcloud healthcare dicom-stores set-iam-policy. Specifica il nome dell'archivio DICOM, il nome del set di dati, la posizione e il percorso del file del criterio che hai creato.

gcloud healthcare dicom-stores set-iam-policy DICOM_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION \
    POLICY_FILE_NAME

Se la richiesta ha esito positivo, vengono visualizzati il nome dell'archivio DICOM e le associazioni.

Updated IAM policy for dicomStore [DICOM_STORE_ID].
bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.dicomStoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  - user:NEW_USER_EMAIL_ADDRESS
  role: roles/healthcare.dicomViewer
etag: bytes
version: VERSION_NUMBER

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// setDICOMIAMPolicy sets the DICOM store's IAM policy.
func setDICOMIAMPolicy(w io.Writer, projectID, location, datasetID, dicomStoreID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	dicomService := healthcareService.Projects.Locations.Datasets.DicomStores

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s/dicomStores/%s", projectID, location, datasetID, dicomStoreID)

	policy, err := dicomService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	policy.Bindings = append(policy.Bindings, &healthcare.Binding{
		Members: []string{"user:[e-mail]"},
		Role:    "roles/viewer",
	})

	req := &healthcare.SetIamPolicyRequest{
		Policy: policy,
	}

	policy, err = dicomService.SetIamPolicy(name, req).Do()
	if err != nil {
		return fmt.Errorf("SetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM Policy etag: %v\n", policy.Etag)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets.DicomStores;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Binding;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.api.services.healthcare.v1.model.SetIamPolicyRequest;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Arrays;
import java.util.Collections;

public class DicomStoreSetIamPolicy {
  private static final String DICOM_NAME = "projects/%s/locations/%s/datasets/%s/dicomStores/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void dicomStoreSetIamPolicy(String dicomStoreName) throws IOException {
    // String dicomStoreName =
    //    String.format(
    //        DICOM_NAME, "your-project-id", "your-region-id", "your-dataset-id", "your-dicom-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Configure the IAMPolicy to apply to the store.
    // For more information on understanding IAM roles, see the following:
    // https://cloud.google.com/iam/docs/understanding-roles
    Binding binding =
        new Binding()
            .setRole("roles/healthcare.dicomStoreAdmin")
            .setMembers(Arrays.asList("domain:google.com"));
    Policy policy = new Policy().setBindings(Arrays.asList(binding));
    SetIamPolicyRequest policyRequest = new SetIamPolicyRequest().setPolicy(policy);

    // Create request and configure any parameters.
    DicomStores.SetIamPolicy request =
        client
            .projects()
            .locations()
            .datasets()
            .dicomStores()
            .setIamPolicy(dicomStoreName, policyRequest);

    // Execute the request and process the results.
    Policy updatedPolicy = request.execute();
    System.out.println("DICOM policy has been updated: " + updatedPolicy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const setDicomStoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const dicomStoreId = 'my-dicom-store';
  // const member = 'user:[e-mail]';
  // const role = 'roles/healthcare.dicomStoreViewer';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/dicomStores/${dicomStoreId}`;
  const request = {
    resource_,
    resource: {
      policy: {
        bindings: [
          {
            members: member,
            role: role,
          },
        ],
      },
    },
  };

  const dicomStore =
    await healthcare.projects.locations.datasets.dicomStores.setIamPolicy(
      request
    );
  console.log(
    'Set DICOM store IAM policy:',
    JSON.stringify(dicomStore.data, null, 2)
  );
};

setDicomStoreIamPolicy();

Python

def set_dicom_store_iam_policy(
    project_id, location, dataset_id, dicom_store_id, member, role, etag=None
):
    """Sets the IAM policy for the specified DICOM store.

    A single member will be assigned a single role. A member can be any of:

    - allUsers, that is, anyone
    - allAuthenticatedUsers, anyone authenticated with a Google account
    - user:email, as in 'user:[e-mail]'
    - group:email, as in 'group:[e-mail]'
    - domain:domainname, as in 'domain:example.com'
    - serviceAccount:email,
        as in 'serviceAccount:[e-mail]'

    A role can be any IAM role, such as 'roles/viewer', 'roles/owner',
    or 'roles/editor'

    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/dicom
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the DICOM store's parent dataset ID
    # dicom_store_id = 'my-dicom-store'  # replace with the DICOM store's ID
    # member = '[e-mail]'  # replace with an authorized member
    # role = 'roles/viewer'  # replace with a Healthcare API IAM role
    dicom_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    dicom_store_name = f"{dicom_store_parent}/dicomStores/{dicom_store_id}"

    policy = {"bindings": [{"role": role, "members": [member]}]}

    if etag is not None:
        policy["etag"] = etag

    request = (
        client.projects()
        .locations()
        .datasets()
        .dicomStores()
        .setIamPolicy(resource=dicom_store_name, body={"policy": policy})
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    print("bindings: {}".format(response.get("bindings")))
    return response

curl

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.dicomViewer:

{
  "role":"roles/healthcare.dicomViewer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, chiama projects.locations.datasets.dicomStores.setIamPolicy per apportare gli aggiornamenti.

Per impostare un criterio IAM a livello di archivio DICOM, effettua una richiesta POST e specifica il nome del set di dati, il nome dell'archivio DICOM, il criterio e un token di accesso.

Il seguente esempio mostra una richiesta POST mediante curl per concedere a un nuovo utente il ruolo roles/healthcare.dicomViewer esistente:

I criteri possono essere scritti direttamente nella richiesta, come mostrato qui, oppure essere passati come file JSON o YAML. Per esempi su come formattare un criterio come JSON o YAML, vedi Policy.

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    --data "{
      'policy': {
        'bindings': [
          {
            'role':'roles/healthcare.dicomStoreAdmin',
            'members': [
              'user:[e-mail]'
            ]
          },
          {
            'role':'roles/healthcare.dicomViewer',
            'members': [
              'serviceAccount:[e-mail]',
              'user:[e-mail]',
              'user:NEW_USER_EMAIL_ADDRESS'
            ]
          }
        ]
      }
    }" "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/dicomStores/DICOM_STORE_ID:setIamPolicy"

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.dicomStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.dicomViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

PowerShell

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.dicomViewer:

{
  "role":"roles/healthcare.dicomViewer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, chiama projects.locations.datasets.dicomStores.setIamPolicy per apportare gli aggiornamenti.

Per impostare un criterio IAM a livello di archivio DICOM, effettua una richiesta POST e specifica il nome del set di dati, il nome dell'archivio DICOM, il criterio e un token di accesso.

L'esempio seguente mostra una richiesta POST mediante Windows PowerShell per concedere a un nuovo utente il ruolo roles/healthcare.dicomViewer esistente:

I criteri possono essere scritti direttamente nella richiesta, come mostrato qui, oppure essere passati come file JSON o YAML. Per esempi su come formattare un criterio come JSON o YAML, vedi Policy.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body "{
    'policy': {
      'bindings': [
        {
          'role': 'roles/healthcare.dicomStoreAdmin',
          'members': [
            'user:[e-mail]',
          ]
        },
        {
          'role': 'roles/healthcare.dicomViewer',
          'members': [
            'serviceAccount:[e-mail]',
            'user:[e-mail]',
            'user:NEW_USER_EMAIL_ADDRESS'
          ]
        }
      ]
    }
  }" `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/dicomStores/DICOM_STORE_ID:setIamPolicy" | Select-Object -Expand Content

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.dicomStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.dicomViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

Utilizzo di IAM con i datastore FHIR

Le sezioni riportate di seguito descrivono come recuperare, modificare e impostare un criterio per un archivio FHIR. In queste sezioni viene utilizzato il seguente criterio di esempio come punto di partenza:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.fhirStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.fhirResourceReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

Recupero di un criterio

I seguenti esempi mostrano come leggere un criterio IAM a livello di datastore FHIR. Per maggiori informazioni, consulta projects.locations.datasets.fhirStores.getIamPolicy.

Console

Per visualizzare il criterio IAM per un datastore FHIR:

1. Nella console Google Cloud, vai alla pagina Set di dati.

   Vai a Set di dati

2. Fai clic sull'ID del set di dati che contiene il datastore FHIR, quindi seleziona il datastore FHIR per cui vuoi ottenere un criterio.
3. Fai clic su Mostra riquadro informazioni.
4. Per visualizzare le entità assegnate a un ruolo, espandi il ruolo.

gcloud

Per visualizzare il criterio IAM per un datastore FHIR, esegui il comando gcloud healthcare fhir-stores get-iam-policy. Specifica il nome del datastore FHIR, il nome del set di dati e la località.

gcloud healthcare fhir-stores get-iam-policy FHIR_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION

Se la richiesta ha esito positivo, vengono visualizzate le associazioni.

bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.fhirStoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  role: roles/healthcare.fhirResourceReader
etag: bytes
version: VERSION_NUMBER

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// getFHIRIAMPolicy gets the FHIR store's IAM policy.
func getFHIRIAMPolicy(w io.Writer, projectID, location, datasetID, fhirStoreID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	fhirService := healthcareService.Projects.Locations.Datasets.FhirStores

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s/fhirStores/%s", projectID, location, datasetID, fhirStoreID)

	policy, err := fhirService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM Policy etag: %v\n", policy.Etag)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets.FhirStores;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Collections;

public class FhirStoreGetIamPolicy {
  private static final String FHIR_NAME = "projects/%s/locations/%s/datasets/%s/fhirStores/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void fhirStoreGetIamPolicy(String fhirStoreName) throws IOException {
    // String fhirStoreName =
    //    String.format(
    //        FHIR_NAME, "your-project-id", "your-region-id", "your-dataset-id", "your-fhir-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Create request and configure any parameters.
    FhirStores.GetIamPolicy request =
        client.projects().locations().datasets().fhirStores().getIamPolicy(fhirStoreName);

    // Execute the request and process the results.
    Policy policy = request.execute();
    System.out.println("FHIR store IAMPolicy retrieved: \n" + policy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const getFhirStoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const fhirStoreId = 'my-fhir-store';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/fhirStores/${fhirStoreId}`;
  const request = {resource_};

  const fhirStore =
    await healthcare.projects.locations.datasets.fhirStores.getIamPolicy(
      request
    );
  console.log(
    'Got FHIR store IAM policy:',
    JSON.stringify(fhirStore.data, null, 2)
  );
};

getFhirStoreIamPolicy();

Python

def get_fhir_store_iam_policy(project_id, location, dataset_id, fhir_store_id):
    """Gets the IAM policy for the specified FHIR store.

    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/fhir
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Instantiates an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the parent dataset's ID
    # fhir_store_id = 'my-fhir-store' # replace with the FHIR store ID
    fhir_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    fhir_store_name = f"{fhir_store_parent}/fhirStores/{fhir_store_id}"

    request = (
        client.projects()
        .locations()
        .datasets()
        .fhirStores()
        .getIamPolicy(resource=fhir_store_name)
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    return response

curl

Per leggere il criterio IAM per un datastore FHIR, effettua una richiesta POST e specifica il nome del set di dati, il nome del datastore FHIR e un token di accesso.

Il seguente esempio mostra una richiesta POST che utilizza curl:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
     "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/fhirStores/FHIR_STORE_ID:getIamPolicy"

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.fhirStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.fhirResourceReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

PowerShell

Per leggere il criterio IAM per un datastore FHIR, effettua una richiesta POST e specifica il nome del set di dati, il nome del datastore FHIR e un token di accesso.

Il seguente esempio mostra una richiesta POST mediante Windows PowerShell:

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/fhirStores/FHIR_STORE_ID:getIamPolicy" | Select-Object -Expand Content

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.fhirStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.fhirResourceReader",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

Modifica di un criterio

Gli esempi riportati di seguito concedono il ruolo roles/healthcare.fhirResourceReader a un nuovo utente. Per ulteriori informazioni, vedi projects.locations.datasets.fhirStores.setIamPolicy.

Impostazione di un criterio

Console

Per impostare un criterio IAM a livello di datastore FHIR, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Set di dati.

   Vai a Set di dati

2. Fai clic sull'ID del set di dati che contiene il datastore FHIR, quindi seleziona il datastore FHIR per cui vuoi impostare un criterio.
3. Fai clic su Mostra riquadro informazioni.
4. Fai clic su Aggiungi entità.
5. Nel campo Nuove entità, inserisci una o più identità che devono accedere al datastore FHIR.
6. Nell'elenco Seleziona un ruolo, in Cloud Healthcare, seleziona l'autorizzazione che vuoi concedere. Ad esempio, Healthcare FHIR Resource Reader.
7. Fai clic su Salva.

gcloud

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.fhirResourceReader:

{
  "role":"roles/healthcare.fhirResourceReader",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, esegui il comando set-iam-policy appropriato per apportare le modifiche. Per impostare un criterio a livello di datastore FHIR, esegui il comando gcloud healthcare fhir-stores set-iam-policy. Specifica il nome del datastore FHIR, il nome del set di dati, la località e il percorso del file dei criteri che hai creato.

gcloud healthcare fhir-stores set-iam-policy FHIR_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION \
    POLICY_FILE_NAME

Se la richiesta ha esito positivo, vengono visualizzati il nome del datastore FHIR e le associazioni.

Updated IAM policy for fhirStore [FHIR_STORE_ID].
bindings:
- members:
  - serviceAccount:[e-mail]
  - user:[e-mail]
  - user:NEW_USER_EMAIL_ADDRESS
  role: roles/healthcare.fhirResourceReader
etag: bytes
version: VERSION_NUMBER

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// setFHIRIAMPolicy sets the FHIR store's IAM policy.
func setFHIRIAMPolicy(w io.Writer, projectID, location, datasetID, fhirStoreID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	fhirService := healthcareService.Projects.Locations.Datasets.FhirStores

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s/fhirStores/%s", projectID, location, datasetID, fhirStoreID)

	policy, err := fhirService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	policy.Bindings = append(policy.Bindings, &healthcare.Binding{
		Members: []string{"user:[e-mail]"},
		Role:    "roles/viewer",
	})

	req := &healthcare.SetIamPolicyRequest{
		Policy: policy,
	}

	policy, err = fhirService.SetIamPolicy(name, req).Do()
	if err != nil {
		return fmt.Errorf("SetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM Policy version: %v\n", policy.Version)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets.FhirStores;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Binding;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.api.services.healthcare.v1.model.SetIamPolicyRequest;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Arrays;
import java.util.Collections;

public class FhirStoreSetIamPolicy {
  private static final String FHIR_NAME = "projects/%s/locations/%s/datasets/%s/fhirStores/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void fhirStoreSetIamPolicy(String fhirStoreName) throws IOException {
    // String fhirStoreName =
    //    String.format(
    //        FHIR_NAME, "your-project-id", "your-region-id", "your-dataset-id", "your-fhir-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Configure the IAMPolicy to apply to the store.
    // For more information on understanding IAM roles, see the following:
    // https://cloud.google.com/iam/docs/understanding-roles
    Binding binding =
        new Binding()
            .setRole("roles/healthcare.fhirResourceReader")
            .setMembers(Arrays.asList("domain:google.com"));
    Policy policy = new Policy().setBindings(Arrays.asList(binding));
    SetIamPolicyRequest policyRequest = new SetIamPolicyRequest().setPolicy(policy);

    // Create request and configure any parameters.
    FhirStores.SetIamPolicy request =
        client
            .projects()
            .locations()
            .datasets()
            .fhirStores()
            .setIamPolicy(fhirStoreName, policyRequest);

    // Execute the request and process the results.
    Policy updatedPolicy = request.execute();
    System.out.println("FHIR policy has been updated: " + updatedPolicy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const setFhirStoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const fhirStoreId = 'my-fhir-store';
  // const member = 'user:[e-mail]';
  // const role = 'roles/healthcare.fhirStoreViewer';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/fhirStores/${fhirStoreId}`;
  const request = {
    resource_,
    resource: {
      policy: {
        bindings: [
          {
            members: member,
            role: role,
          },
        ],
      },
    },
  };

  const fhirStore =
    await healthcare.projects.locations.datasets.fhirStores.setIamPolicy(
      request
    );
  console.log(
    'Set FHIR store IAM policy:',
    JSON.stringify(fhirStore.data, null, 2)
  );
};

setFhirStoreIamPolicy();

Python

def set_fhir_store_iam_policy(
    project_id,
    location,
    dataset_id,
    fhir_store_id,
    member,
    role,
    etag=None,
):
    """Sets the IAM policy for the specified FHIR store.
        A single member will be assigned a single role. A member can be any of:
        - allUsers, that is, anyone
        - allAuthenticatedUsers, anyone authenticated with a Google account
        - user:email, as in 'user:[e-mail]'
        - group:email, as in 'group:[e-mail]'
        - domain:domainname, as in 'domain:example.com'
        - serviceAccount:email,
            as in 'serviceAccount:[e-mail]'
        A role can be any IAM role, such as 'roles/viewer', 'roles/owner',
        or 'roles/editor'

    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/fhir
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Instantiates an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the parent dataset's ID
    # fhir_store_id = 'my-fhir-store' # replace with the FHIR store ID
    # member = '[e-mail]'  # replace with an authorized member
    # role = 'roles/viewer'  # replace with a Healthcare API IAM role
    fhir_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    fhir_store_name = f"{fhir_store_parent}/fhirStores/{fhir_store_id}"

    policy = {"bindings": [{"role": role, "members": [member]}]}

    if etag is not None:
        policy["etag"] = etag

    request = (
        client.projects()
        .locations()
        .datasets()
        .fhirStores()
        .setIamPolicy(resource=fhir_store_name, body={"policy": policy})
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    print("bindings: {}".format(response.get("bindings")))
    return response

curl

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.fhirResourceReader:

{
  "role":"roles/healthcare.fhirResourceReader",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, chiama projects.locations.datasets.fhirStores.setIamPolicy per apportare gli aggiornamenti.

Per impostare un criterio IAM a livello di datastore FHIR, effettua una richiesta POST e specifica il nome del set di dati, il nome del datastore FHIR, il criterio e un token di accesso.

Il seguente esempio mostra una richiesta POST mediante curl per concedere a un nuovo utente il ruolo roles/healthcare.fhirResourceReader esistente:

I criteri possono essere scritti direttamente nella richiesta, come mostrato qui, oppure essere passati come file JSON o YAML. Per esempi su come formattare un criterio come JSON o YAML, vedi Policy.

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    --data "{
      'policy': {
        'bindings': [
          {
            'role':'roles/healthcare.fhirStoreAdmin',
            'members': [
              'user:[e-mail]'
            ]
          },
          {
            'role':'roles/healthcare.fhirResourceReader',
            'members': [
              'serviceAccount:[e-mail]',
              'user:[e-mail]',
              'user:NEW_USER_EMAIL_ADDRESS'
            ]
          }
        ]
      }
    }" "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/fhirStores/FHIR_STORE_ID:setIamPolicy"

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.fhirStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.fhirResourceViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

PowerShell

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.fhirResourceReader:

{
  "role":"roles/healthcare.fhirResourceReader",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, chiama projects.locations.datasets.fhirStores.setIamPolicy per apportare gli aggiornamenti.

Per impostare un criterio IAM a livello di datastore FHIR, effettua una richiesta POST e specifica il nome del set di dati, il nome del datastore FHIR, il criterio e un token di accesso.

L'esempio seguente mostra una richiesta POST mediante Windows PowerShell per concedere a un nuovo utente il ruolo roles/healthcare.fhirResourceReader esistente:

I criteri possono essere scritti direttamente nella richiesta, come mostrato qui, oppure essere passati come file JSON o YAML. Per esempi su come formattare un criterio come JSON o YAML, vedi Policy.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body "{
    'policy': {
      'bindings': [
        {
          'role': 'roles/healthcare.fhirStoreAdmin',
          'members': [
            'user:[e-mail]',
          ]
        },
        {
          'role': 'roles/healthcare.fhirResourceReader',
          'members': [
            'serviceAccount:[e-mail]',
            'user:[e-mail]',
            'user:NEW_USER_EMAIL_ADDRESS'
          ]
        }
      ]
    }
  }" `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/fhirStores/FHIR_STORE_ID:setIamPolicy" | Select-Object -Expand Content

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.fhirStoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.fhirResourceViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

Utilizzo di IAM con gli archivi HL7v2

Le sezioni riportate di seguito descrivono come recuperare, modificare e impostare un criterio per un archivio HL7v2. In queste sezioni viene utilizzato il seguente criterio di esempio come punto di partenza:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.hl7V2StoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.hl7V2Consumer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

Recupero di un criterio

I seguenti esempi mostrano come leggere un criterio IAM a livello di archivio HL7v2. Per maggiori informazioni, consulta projects.locations.datasets.hl7V2Stores.getIamPolicy.

Console

Per visualizzare il criterio IAM per un archivio HL7v2:

1. Nella console Google Cloud, vai alla pagina Set di dati.

   Vai a Set di dati

2. Fai clic sull'ID del set di dati che contiene l'archivio HL7v2, quindi seleziona l'archivio HL7v2 per cui vuoi ottenere un criterio.
3. Fai clic su Mostra riquadro informazioni.
4. Per visualizzare le entità assegnate a un ruolo, espandi il ruolo.

gcloud

Per visualizzare il criterio IAM per un archivio HL7v2, esegui il comando hl7v2-stores get-iam-policy. Specifica il nome dell'archivio HL7v2, il nome del set di dati e la località.

gcloud healthcare hl7v2-stores get-iam-policy HL7V2_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION

Se la richiesta ha esito positivo, vengono visualizzate le associazioni.

bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.hl7v2StoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  role: roles/healthcare.hl7v2Consumer
etag: bytes
version: VERSION_NUMBER

curl

Per leggere il criterio IAM per un archivio HL7v2, effettua una richiesta GET e specifica il nome del set di dati, il nome dell'archivio HL7v2 e un token di accesso.

Il seguente esempio mostra una richiesta GET che utilizza curl:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
     "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/hl7V2Stores/HL7V2_STORE_ID:getIamPolicy"

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.hl7V2StoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.hl7V2Consumer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

PowerShell

Per leggere il criterio IAM per un archivio HL7v2, effettua una richiesta GET e specifica il nome del set di dati, il nome dell'archivio HL7v2 e un token di accesso.

Il seguente esempio mostra una richiesta GET mediante Windows PowerShell:

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Get `
  -Headers $headers `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/hl7V2Stores/HL7V2_STORE_ID:getIamPolicy" | Select-Object -Expand Content

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.hl7V2StoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.hl7V2Consumer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// hl7V2IAMPolicy gets the IAM policy.
func hl7V2IAMPolicy(w io.Writer, projectID, location, datasetID, hl7V2StoreID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	storesService := healthcareService.Projects.Locations.Datasets.Hl7V2Stores

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s/hl7V2Stores/%s", projectID, location, datasetID, hl7V2StoreID)

	policy, err := storesService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "IAM policy etag: %q\n", policy.Etag)
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets.Hl7V2Stores;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Collections;

public class Hl7v2StoreGetIamPolicy {
  private static final String HL7v2_NAME = "projects/%s/locations/%s/datasets/%s/hl7V2Stores/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void hl7v2StoreGetIamPolicy(String hl7v2StoreName) throws IOException {
    // String hl7v2StoreName =
    //    String.format(
    //        HL7v2_NAME, "your-project-id", "your-region-id", "your-dataset-id", "your-hl7v2-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Create request and configure any parameters.
    Hl7V2Stores.GetIamPolicy request =
        client.projects().locations().datasets().hl7V2Stores().getIamPolicy(hl7v2StoreName);

    // Execute the request and process the results.
    Policy policy = request.execute();
    System.out.println("HL7v2 store IAMPolicy retrieved: \n" + policy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const getHl7v2StoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const hl7v2StoreId = 'my-hl7v2-store';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/hl7V2Stores/${hl7v2StoreId}`;
  const request = {resource_};

  const hl7v2Store =
    await healthcare.projects.locations.datasets.hl7V2Stores.getIamPolicy(
      request
    );
  console.log(
    'Got HL7v2 store IAM policy:',
    JSON.stringify(hl7v2Store.data, null, 2)
  );
};

getHl7v2StoreIamPolicy();

Python

def get_hl7v2_store_iam_policy(project_id, location, dataset_id, hl7v2_store_id):
    """Gets the IAM policy for the specified HL7v2 store.

    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/hl7v2
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the HL7v2 store's parent dataset
    # hl7v2_store_id = 'my-hl7v2-store'  # replace with the HL7v2 store's ID
    hl7v2_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    hl7v2_store_name = f"{hl7v2_store_parent}/hl7V2Stores/{hl7v2_store_id}"

    request = (
        client.projects()
        .locations()
        .datasets()
        .hl7V2Stores()
        .getIamPolicy(resource=hl7v2_store_name)
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    return response

Modifica di un criterio

Gli esempi riportati di seguito concedono il ruolo roles/healthcare.hl7V2Consumer a un nuovo utente. Per ulteriori informazioni, vedi projects.locations.datasets.hl7V2Stores.setIamPolicy.

Impostazione di un criterio

Console

Per impostare un criterio IAM a livello di archivio HL7v2, completa questi passaggi:

1. Nella console Google Cloud, vai alla pagina Set di dati.

   Vai a Set di dati

2. Fai clic sull'ID del set di dati che contiene l'archivio HL7v2, quindi seleziona l'archivio HL7v2 per cui vuoi impostare un criterio.
3. Fai clic su Mostra riquadro informazioni.
4. Fai clic su Aggiungi entità.
5. Nel campo Nuove entità, inserisci una o più identità che devono accedere all'archivio HL7v2.
6. Nell'elenco Seleziona un ruolo, in Cloud Healthcare, seleziona l'autorizzazione che vuoi concedere. Ad esempio, Healthcare HL7v2 Message Consumer.
7. Fai clic su Salva.

gcloud

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.hl7V2Consumer:

{
  "role":"roles/healthcare.hl7V2Consumer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, esegui il comando set-iam-policy appropriato per apportare le modifiche. Per impostare un criterio a livello di archivio HL7v2, esegui il comando gcloud healthcare hl7v2-stores set-iam-policy. Specifica il nome dell'archivio HL7v2, il nome del set di dati, la posizione e il percorso al file dei criteri che hai creato.

gcloud healthcare hl7v2-stores set-iam-policy HL7V2_STORE_ID \
    --dataset=DATASET_ID \
    --location=LOCATION \
    POLICY_FILE_NAME

Se la richiesta ha esito positivo, vengono visualizzati il nome dell'archivio HL7v2 e le associazioni.

Updated IAM policy for hl7v2Store [HL7V2_STORE_ID].
bindings:
- members:
  - user:[e-mail]
  role: roles/healthcare.hl7v2StoreAdmin
  - serviceAccount:[e-mail]
  - user:[e-mail]
  - user:NEW_USER_EMAIL_ADDRESS
  role: roles/healthcare.hl7v2Consumer
etag: bytes
version: VERSION_NUMBER

curl

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.hl7V2Consumer:

{
  "role":"roles/healthcare.hl7V2Consumer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, chiama projects.locations.datasets.hl7V2Stores.setIamPolicy per apportare gli aggiornamenti.

Per impostare un criterio IAM a livello di archivio HL7v2, effettua una richiesta POST e specifica il nome del set di dati, il nome dell'archivio HL7v2, il criterio e un token di accesso.

L'esempio seguente mostra una richiesta POST mediante curl per concedere a un nuovo utente il ruolo roles/healthcare.hl7V2Consumer esistente.

I criteri possono essere scritti direttamente nella richiesta, come mostrato qui, oppure essere passati come file JSON o YAML. Per esempi su come formattare un criterio come JSON o YAML, vedi Policy.

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    --data "{
      'policy': {
        'bindings': [
          {
            'role':'roles/healthcare.hl7V2StoreAdmin',
            'members': [
              'user:[e-mail]'
            ]
          },
          {
            'role':'roles/healthcare.hl7V2Consumer',
            'members': [
              'serviceAccount:[e-mail]',
              'user:[e-mail]',
              'user:NEW_USER_EMAIL_ADDRESS'
            ]
          }
        ]
      }
    }" "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/hl7V2Stores/HL7V2_STORE_ID:setIamPolicy"

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.hl7V2StoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.hl7V2Consumer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

PowerShell

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo utente, aggiungi il suo indirizzo email all'array members sotto l'associazione roles/healthcare.hl7V2Consumer:

{
  "role":"roles/healthcare.hl7V2Consumer",
  "members": [
    "serviceAccount:[e-mail]",
    "user:[e-mail]",
    "user:NEW_USER_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, chiama projects.locations.datasets.hl7V2Stores.setIamPolicy per apportare gli aggiornamenti.

Per impostare un criterio IAM a livello di archivio HL7v2, effettua una richiesta POST e specifica il nome del set di dati, il nome dell'archivio HL7v2, il criterio e un token di accesso.

Il seguente esempio mostra una richiesta POST mediante curl per concedere a un nuovo utente il ruolo roles/healthcare.hl7V2Consumer esistente:

I criteri possono essere scritti direttamente nella richiesta, come mostrato qui, oppure essere passati come file JSON o YAML. Per esempi su come formattare un criterio come JSON o YAML, vedi Policy.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body "{
    'policy': {
      'bindings': [
        {
          'role': 'roles/healthcare.hl7V2StoreAdmin',
          'members': [
            'user:[e-mail]',
          ]
        },
        {
          'role': 'roles/healthcare.hl7V2Consumer',
          'members': [
            'serviceAccount:[e-mail]',
            'user:[e-mail]',
            'user:NEW_USER_EMAIL_ADDRESS'
          ]
        }
      ]
    }
  }" `
  -Uri "https://healthcare.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/datasets/DATASET_ID/hl7V2Stores/HL7V2_STORE_ID:setIamPolicy" | Select-Object -Expand Content

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.hl7V2StoreAdmin",
      "members": [
        "user:[e-mail]"
      ]
    },
    {
      "role":"roles/healthcare.hl7V2Consumer",
      "members": [
        "serviceAccount:[e-mail]",
        "user:[e-mail]",
        "user:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

Go

import (
	"context"
	"fmt"
	"io"

	healthcare "google.golang.org/api/healthcare/v1"
)

// setHL7V2IAMPolicy sets an IAM policy.
func setHL7V2IAMPolicy(w io.Writer, projectID, location, datasetID, hl7V2StoreID string) error {
	ctx := context.Background()

	healthcareService, err := healthcare.NewService(ctx)
	if err != nil {
		return fmt.Errorf("healthcare.NewService: %w", err)
	}

	storesService := healthcareService.Projects.Locations.Datasets.Hl7V2Stores

	name := fmt.Sprintf("projects/%s/locations/%s/datasets/%s/hl7V2Stores/%s", projectID, location, datasetID, hl7V2StoreID)

	policy, err := storesService.GetIamPolicy(name).Do()
	if err != nil {
		return fmt.Errorf("GetIamPolicy: %w", err)
	}

	policy.Bindings = append(policy.Bindings, &healthcare.Binding{
		Members: []string{"user:[e-mail]"},
		Role:    "roles/viewer",
	})

	req := &healthcare.SetIamPolicyRequest{
		Policy: policy,
	}

	policy, err = storesService.SetIamPolicy(name, req).Do()
	if err != nil {
		return fmt.Errorf("SetIamPolicy: %w", err)
	}

	fmt.Fprintf(w, "Sucessfully set IAM Policy.\n")
	return nil
}

Java

import com.google.api.client.http.HttpRequestInitializer;
import com.google.api.client.http.javanet.NetHttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.healthcare.v1.CloudHealthcare;
import com.google.api.services.healthcare.v1.CloudHealthcare.Projects.Locations.Datasets.Hl7V2Stores;
import com.google.api.services.healthcare.v1.CloudHealthcareScopes;
import com.google.api.services.healthcare.v1.model.Binding;
import com.google.api.services.healthcare.v1.model.Policy;
import com.google.api.services.healthcare.v1.model.SetIamPolicyRequest;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.IOException;
import java.util.Arrays;
import java.util.Collections;

public class Hl7v2StoreSetIamPolicy {
  private static final String HL7v2_NAME = "projects/%s/locations/%s/datasets/%s/hl7V2Stores/%s";
  private static final JsonFactory JSON_FACTORY = new GsonFactory();
  private static final NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport();

  public static void hl7v2StoreSetIamPolicy(String hl7v2StoreName) throws IOException {
    // String hl7v2StoreName =
    //    String.format(
    //        HL7v2_NAME, "your-project-id", "your-region-id", "your-dataset-id", "your-hl7v2-id");

    // Initialize the client, which will be used to interact with the service.
    CloudHealthcare client = createClient();

    // Configure the IAMPolicy to apply to the store.
    // For more information on understanding IAM roles, see the following:
    // https://cloud.google.com/iam/docs/understanding-roles
    Binding binding =
        new Binding()
            .setRole("roles/healthcare.hl7V2Consumer")
            .setMembers(Arrays.asList("domain:google.com"));
    Policy policy = new Policy().setBindings(Arrays.asList(binding));
    SetIamPolicyRequest policyRequest = new SetIamPolicyRequest().setPolicy(policy);

    // Create request and configure any parameters.
    Hl7V2Stores.SetIamPolicy request =
        client
            .projects()
            .locations()
            .datasets()
            .hl7V2Stores()
            .setIamPolicy(hl7v2StoreName, policyRequest);

    // Execute the request and process the results.
    Policy updatedPolicy = request.execute();
    System.out.println("HL7v2 policy has been updated: " + updatedPolicy.toPrettyString());
  }

  private static CloudHealthcare createClient() throws IOException {
    // Use Application Default Credentials (ADC) to authenticate the requests
    // For more information see https://cloud.google.com/docs/authentication/production
    GoogleCredentials credential =
        GoogleCredentials.getApplicationDefault()
            .createScoped(Collections.singleton(CloudHealthcareScopes.CLOUD_PLATFORM));

    // Create a HttpRequestInitializer, which will provide a baseline configuration to all requests.
    HttpRequestInitializer requestInitializer =
        request -> {
          new HttpCredentialsAdapter(credential).initialize(request);
          request.setConnectTimeout(60000); // 1 minute connect timeout
          request.setReadTimeout(60000); // 1 minute read timeout
        };

    // Build the client for interacting with the service.
    return new CloudHealthcare.Builder(HTTP_TRANSPORT, JSON_FACTORY, requestInitializer)
        .setApplicationName("your-application-name")
        .build();
  }
}

Node.js

const google = require('@googleapis/healthcare');
const healthcare = google.healthcare({
  version: 'v1',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/cloud-platform'],
  }),
});

const setHl7v2StoreIamPolicy = async () => {
  // TODO(developer): uncomment these lines before running the sample
  // const cloudRegion = 'us-central1';
  // const projectId = 'adjective-noun-123';
  // const datasetId = 'my-dataset';
  // const dicomStoreId = 'my-dicom-store';
  // const member = 'user:[e-mail]';
  // const role = 'roles/healthcare.hl7V2StoreViewer';
  const resource_ = `projects/${projectId}/locations/${cloudRegion}/datasets/${datasetId}/hl7V2Stores/${hl7v2StoreId}`;
  const request = {
    resource_,
    resource: {
      policy: {
        bindings: [
          {
            members: member,
            role: role,
          },
        ],
      },
    },
  };

  const hl7v2Store =
    await healthcare.projects.locations.datasets.hl7V2Stores.setIamPolicy(
      request
    );
  console.log(
    'Set HL7v2 store IAM policy:',
    JSON.stringify(hl7v2Store.data, null, 2)
  );
};

setHl7v2StoreIamPolicy();

Python

def set_hl7v2_store_iam_policy(
    project_id, location, dataset_id, hl7v2_store_id, member, role, etag=None
):
    """Sets the IAM policy for the specified HL7v2 store.
        A single member will be assigned a single role. A member can be any of:
        - allUsers, that is, anyone
        - allAuthenticatedUsers, anyone authenticated with a Google account
        - user:email, as in 'user:[e-mail]'
        - group:email, as in 'group:[e-mail]'
        - domain:domainname, as in 'domain:example.com'
        - serviceAccount:email,
            as in 'serviceAccount:[e-mail]'
        A role can be any IAM role, such as 'roles/viewer', 'roles/owner',
        or 'roles/editor'.

    See https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/healthcare/api-client/v1/hl7v2
    before running the sample."""
    # Imports the Google API Discovery Service.
    from googleapiclient import discovery

    api_version = "v1"
    service_name = "healthcare"
    # Returns an authorized API client by discovering the Healthcare API
    # and using GOOGLE_APPLICATION_CREDENTIALS environment variable.
    client = discovery.build(service_name, api_version)

    # TODO(developer): Uncomment these lines and replace with your values.
    # project_id = 'my-project'  # replace with your GCP project ID
    # location = 'us-central1'  # replace with the parent dataset's location
    # dataset_id = 'my-dataset'  # replace with the HL7v2 store's parent dataset
    # hl7v2_store_id = 'my-hl7v2-store'  # replace with the HL7v2 store's ID
    # member = '[e-mail]'  # replace with an authorized member
    # role = 'roles/viewer'  # replace with a Healthcare API IAM role
    hl7v2_store_parent = "projects/{}/locations/{}/datasets/{}".format(
        project_id, location, dataset_id
    )
    hl7v2_store_name = f"{hl7v2_store_parent}/hl7V2Stores/{hl7v2_store_id}"

    policy = {"bindings": [{"role": role, "members": [member]}]}

    if etag is not None:
        policy["etag"] = etag

    request = (
        client.projects()
        .locations()
        .datasets()
        .hl7V2Stores()
        .setIamPolicy(resource=hl7v2_store_name, body={"policy": policy})
    )
    response = request.execute()

    print("etag: {}".format(response.get("name")))
    print("bindings: {}".format(response.get("bindings")))
    return response

Utilizzo di IAM con l'API Healthcare Natural Language

Le seguenti sezioni mostrano come ottenere, modificare e impostare un criterio per l'API Healthcare Natural Language. In queste sezioni viene utilizzato il seguente criterio di esempio come punto di partenza:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.nlpServiceViewer",
      "members": [
        "serviceAccount:[e-mail]"
      ]
    }
  ]
}

Recupero di un criterio

Gli esempi riportati di seguito mostrano come leggere un criterio IAM a livello di progetto. Per ulteriori informazioni, consulta il metodo projects.getIamPolicy.

curl

Per leggere il criterio IAM di un progetto, effettua una richiesta POST e specifica il nome del progetto e un token di accesso.

Il seguente esempio mostra una richiesta POST che utilizza curl:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
     "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy"

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.nlpServiceViewer",
      "members": [
        "serviceAccount:[e-mail]"
      ]
    }
  ]
}

PowerShell

Per visualizzare il criterio IAM per un progetto, effettua una richiesta POST e specifica il nome del progetto e un token di accesso.

Il seguente esempio mostra una richiesta POST mediante Windows PowerShell:

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -Uri "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy" | Select-Object -Expand Content

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.nlpServiceViewer",
      "members": [
        "serviceAccount:[e-mail]"
      ]
    }
  ]
}

Console

Per visualizzare il criterio IAM per un progetto, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina IAM.

   Vai a IAM

2. Per visualizzare le entità assegnate a un ruolo, fai clic su Ruoli ed espandi il ruolo.

gcloud

Per visualizzare il criterio IAM per un progetto, esegui il comando gcloud projects get-iam-policy. Specifica il nome del progetto nella richiesta.

gcloud projects get-iam-policy PROJECT_ID 

Se la richiesta ha esito positivo, vengono visualizzate le associazioni.

bindings:
- members:
  - serviceAccount:[e-mail]
  role: roles/healthcare.nlpServiceViewer
etag: bytes
version: VERSION_NUMBER

Modifica di un criterio

Gli esempi riportati di seguito concedono a un servizio il ruolo roles/healthcare.nlpServiceViewer. Per maggiori informazioni, consulta projects.setIamPolicy.

Impostazione di un criterio

Console

Per impostare un criterio IAM a livello di progetto, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina IAM.

   Vai a IAM

2. Fai clic sul pulsante Modifica accanto all'entità oppure su Aggiungi entità e poi, nel campo Nuove entità, inserisci una o più identità che richiedono l'accesso al progetto.
3. Nell'elenco Seleziona un ruolo, in Cloud Healthcare, seleziona Visualizzatore servizi Healthcare Natural Language.
4. Fai clic su Salva.

gcloud

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo account di servizio, aggiungi l'indirizzo email dell'account di servizio all'array members nell'associazione roles/healthcare.nlpServiceViewer:

{
  "role":"roles/healthcare.nlpServiceViewer",
  "members": [
      "serviceAccount:[e-mail]",
      "serviceAccount:NEW_SERVICE_ACCOUNT_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, esegui il comando gcloud projects set-iam-policy per apportare le modifiche. Specifica il progetto e il percorso del file del criterio che hai creato.

gcloud projects set-iam-policy PROJECT_STORE_ID \
    POLICY_FILE_NAME 

Se la richiesta ha esito positivo, vengono visualizzati il nome del progetto e le associazioni.

Updated IAM policy for project [PROJECT_ID].
bindings:
- members:
  - serviceAccount:[e-mail]
  - serviceAccount:NEW_USER_EMAIL_ADDRESS
  role: roles/healthcare.nlpServiceViewer
etag: bytes
version: VERSION_NUMBER

curl

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo account di servizio, aggiungi l'indirizzo email dell'account di servizio all'array members nell'associazione roles/healthcare.nlpServiceViewer:

{
  "role":"roles/healthcare.nlpServiceViewer",
  "members": [
      "serviceAccount:[e-mail]",
      "serviceAccount:NEW_SERVICE_ACCOUNT_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, chiama projects.setIamPolicy per apportare gli aggiornamenti.

Per impostare un criterio IAM a livello di progetto, effettua una richiesta POST e specifica il nome del progetto, il criterio e un token di accesso.

Il seguente esempio mostra una richiesta POST mediante curl per concedere a un nuovo utente il ruolo roles/healthcare.nlpServiceViewer esistente:

I criteri possono essere scritti direttamente nella richiesta, come mostrato qui, oppure essere passati come file JSON o YAML. Per esempi su come formattare un criterio come JSON o YAML, vedi Policy.

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    --data "{
      'policy': {
        'bindings': [
          {
            'role':'roles/healthcare.nlpServiceViewer',
            'members': [
              'serviceAccount:[e-mail]'
            ]
          }
        ]
      }
    }" "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy"

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.nlpServiceViewer",
      "members": [
        "serviceAccount:[e-mail]"
      ]
    }
  ]
}

PowerShell

Concedi o revoca i ruoli agli utenti modificando il criterio recuperato, in modo programmatico o utilizzando un editor di testo. Il valore etag cambia quando il criterio viene modificato, quindi devi specificare il valore attuale.

Per concedere il ruolo a un nuovo account di servizio, aggiungi l'indirizzo email dell'account di servizio all'array members nell'associazione roles/healthcare.nlpServiceViewer:

{
  "role":"roles/healthcare.nlpServiceViewer",
  "members": [
      "serviceAccount:[e-mail]",
      "serviceAccount:NEW_SERVICE_ACCOUNT_EMAIL_ADDRESS"
  ]
}

Per revocare l'accesso di un'entità, elimina il relativo indirizzo email dall'array members. Per revocare l'accesso all'ultima entità che ha un ruolo, elimina l'array bindings per il ruolo. Il criterio non può contenere un array bindings vuoto.

Dopo aver modificato il criterio in modo da concedere i ruoli applicabili, chiama projects.setIamPolicy per apportare gli aggiornamenti.

Per impostare un criterio IAM a livello di progetto, effettua una richiesta POST e specifica il nome del progetto, il criterio e un token di accesso.

Il seguente esempio mostra una richiesta POST mediante curl per concedere a un nuovo utente il ruolo roles/healthcare.nlpServiceViewer esistente:

I criteri possono essere scritti direttamente nella richiesta, come mostrato qui, oppure essere passati come file JSON o YAML. Per esempi su come formattare un criterio come JSON o YAML, vedi Policy.

$cred = gcloud auth application-default print-access-token
$headers = @{ Authorization = "Bearer $cred" }

Invoke-WebRequest `
  -Method Post `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body "{
    'policy': {
      'bindings': [
        {
          'role': 'roles/healthcare.nlpServiceViewer',
          'members': [
            'serviceAccount:[e-mail]',
            'serviceAccount:NEW_USER_EMAIL_ADDRESS'
          ]
        }
      ]
    }
  }" `
  -Uri "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy" | Select-Object -Expand Content

La risposta è la seguente:

{
  "etag":"bytes",
  "bindings": [
    {
      "role":"roles/healthcare.nlpServiceViewer",
      "members": [
        "serviceAccount:[e-mail]",
        "serviceAccount:NEW_USER_EMAIL_ADDRESS"
      ]
    }
  ]
}

Passaggi successivi

• Scopri di più sul pattern di lettura, modifica e scrittura utilizzando i criteri IAM.
• Visualizza i ruoli dell'API Cloud Healthcare disponibili.