Políticas de IAM basadas en la identidad para HealthOmics

Para conceder acceso a los usuarios de tu cuenta HealthOmics, utilizas políticas basadas en la identidad en AWS Identity and Access Management (IAM). Las políticas basadas en la identidad se pueden aplicar directamente a los usuarios de IAM o a los grupos y roles de IAM asociados a un usuario. También puede conceder a los usuarios de otra cuenta permiso para asumir un rol de su cuenta y tener acceso a sus recursos de HealthOmics.

Para conceder permiso a los usuarios para realizar acciones en una versión de flujo de trabajo, debe añadir el flujo de trabajo y la versión específica del flujo de trabajo a la lista de recursos.

La siguiente política de IAM permite a los usuarios acceder a todas las acciones de la HealthOmics API y transferirles las funciones de servicio. HealthOmics

ejemplo Política de usuario

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "omics:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "iam:PassedToService": "omics.amazonaws.com"
        }
      }
    }
  ]
}

Cuando los utilizas HealthOmics, también interactúas con otros AWS servicios. Para acceder a estos servicios, utilice las políticas gestionadas que proporciona cada servicio. Para restringir el acceso a un subconjunto de recursos, puede usar las políticas administradas como punto de partida para crear sus propias políticas más restrictivas.

• AmazonS3 FullAccess: acceso a los buckets y objetos de Amazon S3 utilizados por los trabajos.

• Amazon EC2 ContainerRegistryFullAccess: acceso a los registros y repositorios de Amazon ECR para imágenes de contenedores de flujos de trabajo.

• AWSLakeFormationDataAdmin— Acceso a las bases de datos y tablas de Lake Formation creadas por las tiendas de análisis.

• ResourceGroupsandTagEditorFullAccess— Etiquete HealthOmics los recursos con operaciones de API de HealthOmics etiquetado.

Las políticas anteriores no permiten a los usuarios crear funciones de IAM. Para que un usuario con estos permisos pueda ejecutar un trabajo, un administrador debe crear el rol de servicio que otorga el HealthOmics permiso para acceder a las fuentes de datos. Para obtener más información, consulte Funciones de servicio para AWS HealthOmics.

Defina permisos de IAM personalizados para las ejecuciones

Puede incluir cualquier flujo de trabajo, ejecución o grupo de ejecución al que haga referencia la StartRun solicitud en una solicitud de autorización. Para ello, indique la combinación deseada de flujos de trabajo, ejecuciones o grupos de ejecuciones en la política de IAM. Por ejemplo, puede limitar el uso de un flujo de trabajo a una ejecución o grupo de ejecuciones específicos. También puedes especificar que un flujo de trabajo solo se use con un grupo de ejecuciones.

A continuación se muestra un ejemplo de política de IAM que permite un único flujo de trabajo con un único grupo de ejecuciones.

JSON

{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
              "omics:StartRun"
          ],
          "Resource": [
              "arn:aws:omics:us-west-2:123456789012:workflow/1234567",
              "arn:aws:omics:us-west-2:123456789012:runGroup/2345678"
          ]
      },
      {
          "Effect": "Allow",
          "Action": [
              "omics:StartRun"
          ],
          "Resource": [
              "arn:aws:omics:us-west-2:123456789012:run/*",
              "arn:aws:omics:us-west-2:123456789012:runGroup/2345678"
          ]
      },
      {
          "Effect": "Allow",
          "Action": [
              "omics:GetRun",
              "omics:ListRunTasks",
              "omics:GetRunTask",
              "omics:CancelRun",
              "omics:DeleteRun"
          ],
          "Resource": [
              "arn:aws:omics:us-west-2:123456789012:run/*"
          ]
      }     
  ]
}