Vue d’ensemble AWS

L’environnement AWS de HIC fournit la fondation cloud de tous les services de la plateforme. Toute l’infrastructure est définie sous forme de code avec AWS CDK (TypeScript) et déployée via GitHub Actions avec OIDC — aucun identifiant statique.

Champ	Valeur
Compte	`600627345833`
Région	`eu-west-1`
Outil IaC	AWS CDK (TypeScript)
Fichier de configuration	`infra/aws/config/nhic.json`
Source CDK	`infra/aws/`

OIDC GitHub

Tous les pipelines CI/CD s’authentifient auprès d’AWS via OIDC depuis le dépôt GitHub Sand-EnterpriseAI/Healthcare.MOH.RWA.HIC. Aucune clé d’accès IAM statique n’est utilisée ni stockée dans le code.

Services

Service	Rôle
Cognito	Authentification — user pool `moh-auth`, domaine personnalisé `auth.nhic.moh.gov.rw`
ECR	Registres de conteneurs privés : `dbt`, `prefect`, `greenriver`, `jupyter`
CloudFront + S3	Hébergement frontend de GreenRiver v2 sur `nhic.moh.gov.rw`
Route53	DNS pour `nhic.moh.gov.rw` et `auth.nhic.moh.gov.rw`
Secrets Manager	Secrets du cluster — mots de passe de bases de données, clés d’API, clés MinIO, et plus

Groupes d’utilisateurs Cognito

Le user pool moh-auth contrôle l’accès à tous les services de la plateforme. L’appartenance à un groupe détermine ce à quoi un utilisateur peut accéder.

Groupe	Accès
`argocd-admin`	ArgoCD — administration complète
`argocd-moh-admin`	ArgoCD — administration MOH
`superset-users`	Superset — lecture/exploration
`superset-admins`	Superset — administration complète
`greenriver-nhic`	GreenRiver — personnel HIC
`greenriver-ceho`	GreenRiver — personnel CEHO
`greenriver-admins`	GreenRiver — administrateurs
`greenriver-rbc-mcch`	GreenRiver — personnel RBC MCCH
`k8s-admins`	Kubernetes — administration du cluster
`k8s-readonly`	Kubernetes — lecture seule
`k8s-read-write`	Kubernetes — lecture/écriture

Des variantes dev des groupes GreenRiver existent pour les environnements hors production.

Pour aller plus loin

Stacks CDKStructure des stacks, workflow de déploiement et circuit des secrets depuis Secrets Manager vers Kubernetes.