FHIR サーバのセキュリティ

要求に付随するアクセス・トークンには、少なくとも 1 つの患者臨床スコープまたはユーザ臨床スコープが含まれている必要があります。含まれていないと、要求は HTTP 403 エラーで拒否されます。アクセス・トークンに患者臨床スコープとユーザ臨床スコープの両方が含まれている場合は、FHIR サーバでは、患者臨床スコープを適用し、ユーザ臨床スコープを無視します。

アクセス・トークンに患者臨床スコープが含まれている場合は、Patient リソースの ID である患者コンテキスト値 (“起動コンテキスト”とも呼ばれる) も含まれている必要があります。この患者コンテキスト値により、指定の Patient リソースや関連リソースへのアクセス権が付与されます。ほとんどの場合、患者臨床スコープは、関連するリソースへの明示的なアクセス権を付与する必要があります。例えば、患者コンテキスト値が 1234 で、患者臨床スコープが patient/Observation.* の場合、FHIR サーバは ID 1234 の患者を参照する Observation に対するアクセス権を付与できます。この場合には、patient/Observation.* (または、Observations へのアクセス権を付与する別のスコープ) が必要になります。この要件の例外として、FHIR クライアントは、そのリソースに固有の患者臨床スコープを取得せずに、複数の Patient 間で共有されるリソースにアクセスできます。例えば、スコープが patient/Patient.read である場合、クライアントは、スコープ patient/Organization.read を取得せずに、患者によって参照される Organization にアクセスできます。

アクセス・トークンに患者コンテキスト値が含まれている場合は、患者臨床スコープも含まれている必要があります。含まれていないと、要求は HTTP 403 エラーで拒否されます。

アクセス・トークンから患者コンテキスト値を取得するには、FHIR サーバで、2 つの場所を以下の順序で調べます。

• launch/patient/ スコープの 3 番目の空白以外の部分。

• アクセス・トークンの patient プロパティ。

FHIR サーバは、有効なアクセス・トークンを伴う検索要求を、以下の方法で処理します。

• _include パラメータと _revinclude パラメータを使用できます。

• FHIR サーバが患者コンテキスト値を適用する場合 ：

  • 連鎖および逆連鎖した (_has) パラメータは使用できません。

  • 親のスコープで検索リソース・タイプを許可しておく必要があります。

  • 検索リソース・タイプが Patient ではない場合、患者コンテキストにある Patient リソースを参照検索パラメータ値で指定する必要があります。

  • _include パラメータと _revinclude パラメータが存在する場合は、スコープで許可されているリソースに、これらのパラメータで引き出し処理のみを指定する必要があります。

  • Patient 検索では、あらゆる _id が患者コンテキスト値と一致している必要があります。

  • Patient コンパートメント検索では、コンパートメントのリソース ID は患者コンテキスト値と一致する必要があります。

  • 他のすべてのケースでは、検索を実行し、得られた結果セットにあるすべてのリソースがスコープとコンテキストで許可されていることを確認します。

新しい Patient リソースの作成要求には、書き込み権限を付与するユーザ臨床スコープ (user/Patient.write または user/Patient.*) が含まれている必要があります。患者臨床スコープを含む Patient リソースに create 相互作用を実行することはできません。患者臨床スコープには、患者コンテキスト値が含まれている必要があり、create 相互作用には、リソース ID を含めることはできません。

Patient または Encounter の $everything オペレーションに対する要求には、その要求で返される可能性があるリソースすべてに対する読み取りアクセス権を持つアクセス・トークンが含まれている必要があります。リソースがスコープの範囲ではないコンパートメントで見つかった場合は、要求全体が HTTP 403 Forbidden エラーで拒否されます。

この要件は、現実的には以下のように適用されます。

• _type オペレーション・クエリ・パラメータが指定されている場合、スコープに、要求されるリソース・タイプすべてに対する読み取りアクセスが含まれる必要があります。

• タイプが指定されておらず、アクセス・トークンで患者臨床スコープが使用されている場合、コンパートメントで見つかったリソースを返すには、patient/*.read または patient/*.* のスコープが必要です。

• タイプが指定されておらず、アクセス・トークンでユーザ臨床スコープが使用されている場合、コンパートメントで見つかったリソースを返すには、user/*.read または user/*.* のスコープが必要です。