Criação de permissões granulares para usuários não administradores no Step Functions

As políticas gerenciadas padrão emIAM, comoReadOnly, não cobrem totalmente todos os tipos de AWS Step Functions permissões. Esta seção descreve esses tipos diferentes de permissões e apresenta alguns exemplos de configurações.

O Step Functions tem quatro categorias de permissões. Dependendo do acesso que você deseja fornecer a um usuário, pode controlar o acesso usando as permissões dessas categorias.

Permissões no nível do serviço

Aplique aos componentes do API que não atuam em um recurso específico.

Permissões no nível da máquina de estado

Aplique a todos os API componentes que atuam em uma máquina de estado específica.

Permissões no nível da execução

Aplique a todos os API componentes que atuam em uma execução específica.

Permissões no nível da atividade

Aplique a todos os API componentes que atuam em uma atividade específica ou em uma instância específica de uma atividade.

Permissões no nível do serviço

Esse nível de permissão se aplica a todas API as ações que não atuam em um recurso específico. Isso inclui CreateStateMachineCreateActivity, ListStateMachinesListActivities,, ValidationStateMachineDefinition e.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "states:ListStateMachines",
        "states:ListActivities",
        "states:CreateStateMachine",
        "states:CreateActivity",
        "states:ValidationStateMachineDefinition", 
      ],
      "Resource": [ 
        "arn:aws:states:*:*:*" 
      ]
    },
    {
      "Effect": "Allow",
      "Action": [ 
        "iam:PassRole"
      ],
      "Resource": [
        "arn:aws:iam:::role/my-execution-role"
      ]
    }
  ]
}

Permissões no nível da máquina de estado

Esse nível de permissão se aplica a todas as API ações que atuam em uma máquina de estado específica. Essas API operações exigem o Amazon Resource Name (ARN) da máquina de estado como parte da solicitaçãoDeleteStateMachine, como DescribeStateMachineStartExecution,, ListExecutions e.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "states:DescribeStateMachine",
        "states:StartExecution",
        "states:DeleteStateMachine",
        "states:ListExecutions",
        "states:UpdateStateMachine",
        "states:TestState",
        "states:RevealSecrets"
      ],
      "Resource": [ 
        "arn:aws:states:*:*:stateMachine:StateMachinePrefix*" 
      ]
    }
  ]
}

Permissões no nível da execução

Esse nível de permissão se aplica a todas as API ações que atuam em uma execução específica. Essas API operações exigem ARN a execução como parte da solicitaçãoDescribeExecution, comoGetExecutionHistory, StopExecution e.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "states:DescribeExecution",
        "states:DescribeStateMachineForExecution",
        "states:GetExecutionHistory",
        "states:StopExecution"
      ],
      "Resource": [ 
        "arn:aws:states:*:*:execution:*:ExecutionPrefix*"
      ]
    }
  ]
}

Permissões no nível da atividade

Esse nível de permissão se aplica a todas API as ações que atuam em uma atividade específica ou em uma instância específica dela. Essas API operações exigem ARN a atividade ou o token da instância como parte da solicitaçãoDeleteActivity, comoDescribeActivity,GetActivityTask, SendTaskHeartbeat e.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "states:DescribeActivity",
        "states:DeleteActivity",
        "states:GetActivityTask",
        "states:SendTaskHeartbeat"
      ],
      "Resource": [
        "arn:aws:states:*:*:activity:ActivityPrefix*"
      ]
    }
  ]
}