AWS Step Functions 控件

这些控件与 Step Functions 资源有关。

这些控件可能并非全部可用 AWS 区域。有关更多信息，请参阅 按地区划分的控件可用性。

[StepFunctions.1] Step Functions 状态机应该开启日志功能

类别：识别 > 日志记录

严重性：中

资源类型：AWS::StepFunctions::StateMachine

AWS Config 规则：step-functions-state-machine-logging-enabled

计划类型：已触发变更

参数：

参数	描述	类型	允许的自定义值	Security Hub 默认值
logLevel	最低日志记录级别	枚举	ALL, ERROR, FATAL	无默认值

此控件检查 AWS Step Functions 状态机是否已开启日志记录。如果状态机没有开启日志记录，则控制失败。如果您为 logLevel 参数提供自定义值，则仅当状态机开启了指定的日志记录级别时，控制才会通过。

监控可帮助您保持 Step Functions 的可靠性、可用性和性能。您应从中收集尽可能多的监控数据 AWS 服务 ，以便可以更轻松地调试多点故障。为你的 Step Function CloudWatch s 状态机定义日志配置后，你就可以在 Amazon Logs 中跟踪执行历史和结果。或者，您只能跟踪错误或致命事件。

修复

要为 Step Functions 状态机开启日志记录，请参阅 AWS Step Functions 开发人员指南中的配置日志记录。

[StepFunctions.2] 应标记 Step Functions 活动

类别：识别 > 清单 > 标记

严重性：低

资源类型：AWS::StepFunctions::Activity

AWS Config 规则:tagged-stepfunctions-activity（自定义 Security Hub 规则）

计划类型：已触发变更

参数：

参数	描述	类型	允许的自定义值	Security Hub 默认值
requiredTagKeys	评估的资源必须包含的非系统标签密钥列表。标签键区分大小写。	StringList	符合AWS 要求的标签列表	无默认值

此控件检查 AWS Step Functions 活动是否具有参数中定义的特定键的标签requiredTagKeys。如果 Activity 没有任何标签密钥或者没有在参数中指定的所有密钥，则控件将失败requiredTagKeys。如果requiredTagKeys未提供该参数，则该控件仅检查标签密钥是否存在，如果活动未使用任何密钥进行标记，则该控件将失败。系统标签会自动应用并以其开头aws:，但会被忽略。

标签是您分配给 AWS 资源的标签，它由密钥和可选值组成。您可以创建标签，按用途、所有者、环境或其他标准对资源进行分类。标签可以帮助您识别、组织、搜索和筛选资源。标记还可以帮助您跟踪负责任的资源所有者的操作和通知。使用标记时，可以实现基于属性的访问控制 (ABAC) 作为一种授权策略，它根据标签定义权限。您可以为IAM实体（用户或角色）和 AWS 资源附加标签。您可以为IAM委托人创建单个ABAC策略或一组单独的策略。您可以将这些ABAC策略设计为允许在委托人的标签与资源标签匹配时进行操作。有关更多信息，请参阅有什么ABAC用 AWS？ 在《IAM用户指南》中。

注意

不要在标签中添加个人身份信息 (PII) 或其他机密或敏感信息。许多人都可以访问标签 AWS 服务，包括 AWS Billing。有关更多标记最佳做法，请参阅中的为AWS 资源添加标签。AWS 一般参考

修复

要向 Step Functions 活动添加标签，请参阅《AWS Step Functions 开发者指南》中的 “在 Step Funct ions 中添加标签”。