Persyaratan untuk otorisasi JWT

Persyaratan OIDC

Untuk mengakses DICOMweb sumber daya pada HealthImaging datastore berkemampuan OIDC, aplikasi klien harus diotorisasi oleh penyedia OAuth identitas OpenID Connect/2.0 (iDP) dan menyajikan token OAuth 2.0 Bearer (JWT) di header Otorisasi setiap permintaan. HealthImaging memvalidasi token menggunakan salah satu jalur integrasi yang Anda konfigurasikan di datastore dan kemudian mengotorisasi permintaan dengan mengasumsikan peran IAM dipetakan ke pemanggil.

catatan

OIDC menambah tetapi tidak menggantikan SiGv4. Anda dapat terus menggunakan SiGv4 tidak berubah. OIDC hanya tersedia untuk DICOMweb APIs .

Konfigurasikan Validasi Token di Datastore

Pilih satu jalur validasi saat Anda membuat (atau memperbarui) datastore:

Authorizer Lambda (JWT) yang dikelola pelanggan

• Menyediakan LambdaAuthorizerArn. HealthImaging memanggil Lambda Anda dengan token yang masuk; fungsi Anda memvalidasinya dan mengembalikan klaim yang diperlukan ditambah peran IAM ARN untuk diasumsikan.

• Lambda harus kembali dalam 1 detik.

• Tambahkan kebijakan berbasis sumber daya ke fungsi yang memungkinkan pemanggilan oleh (pencitraan medis utama layanan. HealthImaging region.amazonaws.com) dan, secara opsional, membatasi panggilan ke ARN datastore Anda.

• Mengaktifkan otorisasi Lambda pada datastore yang ada memerlukan kasus AWS Support.

Format Permintaan (HTTP)

Kirim token akses di header Otorisasi:

Contoh Get Operation - Get DICOMInstance

curl --request GET \
  'service endpoint/datastore/datastore/studies/studies/series/series/instances/instances?imageSetId=imageSetId' \
  --header "Authorization: Bearer access token" \
  --header 'Accept: application/dicom; transfer-syntax=1.2.840.10008.1.2.1' \
  --output 'dicom-instance.dcm' \
  --fail-with-body

Klaim JWT yang Diperlukan

Agar DICOMweb permintaan berhasil, token/authorization muatan efektif harus berisi klaim ini:

• exp— Kedaluwarsa. Waktu saat ini harus sebelum nilai ini.

• iat- Diterbitkan di. Harus sebelum waktu saat ini di UTC dan TIDAK boleh lebih awal dari 12 jam sebelum waktu saat ini di UTC (masa pakai token maksimum)