Uso de políticas basadas en identidades (políticas de IAM) para Amazon Comprehend Medical

En esta sección se incluyen ejemplos de políticas basadas en identidades. Los ejemplos muestran cómo un administrador de la cuenta puede asociar políticas de permisos a identidades de IAM. Esto permite a los usuarios, grupos y roles realizar acciones de Amazon Comprehend Medical.

importante

Para entender los permisos, le recomendamos que consulte Información general sobre la administración de los permisos de acceso a los recursos de Amazon Comprehend Medical.

Este ejemplo de política es obligatorio para utilizar las acciones de análisis de documentos de Amazon Comprehend Medical.

{
   "Version": "2012-10-17",
   "Statement": [{
      "Sid": "AllowDetectActions",
      "Effect": "Allow",
      "Action": [
                "comprehendmedical:DetectEntitiesV2",
                "comprehendmedical:DetectEntities",
                "comprehendmedical:DetectPHI",
                
                "comprehendmedical:StartEntitiesDetectionV2Job",
                "comprehendmedical:ListEntitiesDetectionV2Jobs",
                "comprehendmedical:DescribeEntitiesDetectionV2Job",
                "comprehendmedical:StopEntitiesDetectionV2Job",

                "comprehendmedical:StartPHIDtectionJob",
                "comprehendmedical:ListPHIDetectionJobs",
                "comprehendmedical:DescribePHIDetectionJob",
                "comprehendmedical:StopPHIDetectionJob",
                
                "comprehendmedical:StartRxNormInferenceJob",
                "comprehendmedical:ListRxNormInferenceJobs",
                "comprehendmedical:DescribeRxNormInferenceJob",
                "comprehendmedical:StopRxNormInferenceJob",

                "comprehendmedical:StartICD10CMInferenceJob",
                "comprehendmedical:ListICD10CMInferenceJobs",
                "comprehendmedical:DescribeICD10CMInferenceJob",
                "comprehendmedical:StopICD10CMInferenceJob",
                
                "comprehendmedical:StartSNOMEDCTInferenceJob",
                "comprehendmedical:ListSNOMEDCTInferenceJobs",
                "comprehendmedical:DescribeSNOMEDCTInferenceJob",
                "comprehendmedical:StopSNOMEDCTInferenceJob",
                
                "comprehendmedical:InferRxNorm",
                "comprehendmedical:InferICD10CM",
                "comprehendmedical:InferSNOMEDCT",

             ],   
      "Resource": "*"
      }
   ]
}

La política tiene una instrucción que concede permisos para utilizar las acciones DetectEntities y DetectPHI.

La política no especifica el elemento Principal, ya que en una política basada en identidad no se especifica el elemento principal que obtiene el permiso. Al asociar una política a un usuario, el usuario es la entidad principal implícita. Cuando se asocia una política a un rol de IAM, la entidad principal identificada en la política de confianza del rol obtiene el permiso.

Para ver todas las acciones de la API de Amazon Comprehend Medical y los recursos a los que se aplican, consulte Permisos de la API de Amazon Comprehend Medical: referencia de acciones, recursos y condiciones.

Permisos necesarios para usar la consola de Amazon Comprehend Medical

En la tabla de referencia de los permisos, se muestran las operaciones de la API de Amazon Comprehend Medical y se indican los permisos necesarios para cada operación. Para obtener más información sobre los permisos de la API de Amazon Comprehend Medical, consulte Permisos de la API de Amazon Comprehend Medical: referencia de acciones, recursos y condiciones.

Para usar la consola de Amazon Comprehend Medical, debe conceder permisos para las acciones mostradas en la política siguiente.

{
  "Version": "2012-10-17",
  "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "iam:CreateRole",
            "iam:CreatePolicy",
            "iam:AttachRolePolicy"
         ],
         "Resource": "*"
      },
      {
         "Effect": "Allow",
         "Action": "iam:PassRole",
         "Resource": "*",
         "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "comprehendmedical.amazonaws.com"
                }
         }
      }
   ]
}
            

La consola de Amazon Comprehend Medical necesita estos permisos por los siguientes motivos:

• Permisos de iam para indicar los roles de IAM disponibles en su cuenta.

• Permisos de s3 para acceder a los buckets y objetos de Amazon S3 que contienen los datos.

Cuando crea un trabajo de procesamiento por lotes asincrónico mediante la consola, también puede crear un rol de IAM para dicho trabajo. Para crear un rol de IAM mediante la consola, se deben conceder a los usuarios los permisos adicionales que se muestran aquí para crear políticas y roles de IAM, así como para asociar políticas a los roles.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "iam:CreateRole",
        "iam:CreatePolicy",
        "iam:AttachRolePolicy"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}
            

La consola de Amazon Comprehend Medical necesita estos permisos para crear y asociar roles y políticas. Mediante la acción iam:PassRole, la consola puede pasar el rol a Amazon Comprehend Medical.

Políticas administradas de AWS (predefinidas) en Amazon Comprehend Medical

AWS aborda muchos casos de uso comunes proporcionando políticas de IAM independientes creadas y administradas por AWS. Estas políticas administradas por AWS conceden los permisos necesarios para casos de uso comunes, lo que le evita tener que investigar los permisos que se necesitan. Para más información, consulte Políticas administradas por AWS en la Guía del usuario de IAM.

La siguiente política administrada de AWS, que puede asociar a los usuarios de su cuenta, es específica de Amazon Comprehend Medical.

• ComprehendMedicalFullAccess— Otorga acceso completo a los recursos de Amazon Comprehend Medical. Incluye permiso para indicar y obtener roles de IAM.

Debe aplicar la siguiente política adicional a cualquier usuario que utilice Amazon Comprehend Medical:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "comprehendmedical.amazonaws.com"
                }
            }
        }
    ]
}
            

Para consultar las políticas de permisos administradas, inicie sesión en la consola de IAM y busque las políticas específicas.

Estas políticas funcionan cuando se utilizan los AWS SDK o la CLI de AWS.

También puede crear sus propias políticas de IAM para conceder permisos a las acciones y los recursos de Amazon Comprehend Medical. Puede asociar estas políticas personalizadas a los grupos o usuarios de IAM que las requieran.

Para las operaciones de procesamiento por lotes se requieren permisos basados en roles.

Para utilizar las operaciones asincrónicas de Amazon Comprehend Medical, conceda a Amazon Comprehend Medical acceso al bucket de Amazon S3 que contiene su colección de documentos. Para ello, cree un rol de acceso a los datos en su cuenta para confiar en la entidad principal del servicio Amazon Comprehend Medical. Para obtener más información sobre cómo crear un rol, consulte Creación de un rol para delegar permisos a un servicio de AWS en la Guía del usuario de AWS Identity and Access Management.

A continuación, se incluye la política de confianza del rol.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "comprehendmedical.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Una vez que haya creado el rol, cree una política de acceso para él. La política debe conceder los permisos GetObject y ListBucket de Amazon S3 para el bucket de Amazon S3 que contiene los datos de entrada. También concede permisos para el PutObject de Amazon S3 a su bucket de datos de salida de Amazon S3.

El siguiente ejemplo de política de acceso contiene esos permisos.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::input bucket/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::input bucket"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::output bucket/*"
            ],
            "Effect": "Allow"
        }
    ]
}
            

Ejemplos de políticas administradas por el cliente

En esta sección, encontrará ejemplos de políticas de usuario que conceden permisos para diversas acciones de Amazon Comprehend Medical. Estas políticas funcionan cuando se utilizan los AWS SDK o la CLI de AWS. Cuando utilice la consola, conceda permisos a todas las API de Amazon Comprehend Medical. Esto se explica en Permisos necesarios para usar la consola de Amazon Comprehend Medical.

nota

Todos los ejemplos utilizan la región us-east-2 y contienen identificadores de cuenta ficticios.

Ejemplos

Ejemplo 1: permitir todas las acciones de Amazon Comprehend Medical

Tras registrarse AWS, debe crear un administrador para administrar su cuenta, lo que incluye la creación de usuarios y la administración de sus permisos.

Si quiere, puede crear un usuario que tenga permisos para todas las acciones de Amazon Comprehend. Piense en este usuario como un administrador específico del servicio para trabajar con Amazon Comprehend Medical. Puede vincular la siguiente política de permisos con este usuario.

{
   "Version": "2012-10-17",
   "Statement": [{
      "Sid": "AllowAllComprehendMedicalActions",
      "Effect": "Allow",
      "Action": [
         "comprehendmedical:*"],
      "Resource": "*"
      }
   ]
}

Ejemplo 2: Permitir solo DetectEntities acciones

La siguiente política de permisos concede a los usuarios permisos para detectar entidades en Amazon Comprehend Medical, pero no para detectar operaciones de PHI.

{
   "Version": "2012-10-17",
   "Statement": [{
      "Sid": "AllowDetectEntityActions",
      "Effect": "Allow",
      "Action": [
                "comprehendedical:DetectEntities"
             ],   
            "Resource": "*"
            ]
        }
    ]
}