Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
È possibile utilizzare Workflow Studio per configurare i ruoli di esecuzione per i flussi di lavoro. Ogni Step Functions la macchina a stati richiede un AWS Identity and Access Management (IAM) ruolo che concede alla macchina a stati il permesso di eseguire azioni su risorse Servizi AWS e o chiamare HTTPS APIs. Questo ruolo è chiamato ruolo di esecuzione.
Il ruolo di esecuzione deve contenere IAM politiche per ogni azione, ad esempio politiche che consentono alla macchina a stati di richiamare un AWS Lambda funzione, eseguire un AWS Batch esegui un'operazione o chiama l'API Stripe. Step Functions richiede di fornire un ruolo di esecuzione nei seguenti casi:
-
Si crea una macchina a stati nella console AWS SDKs o AWS CLI utilizzando l'CreateStateMachineAPI.
-
Si verifica uno stato nella console AWS SDKs oppure AWS CLI utilizzando l'TestStateAPI.
Argomenti
Informazioni sui ruoli generati automaticamente
Quando si crea una macchina a stati in Step Functions console, Workflow Studio può creare automaticamente un ruolo di esecuzione che contiene il necessario IAM politiche. Workflow Studio analizza la definizione della macchina a stati e genera politiche con i privilegi minimi necessari per eseguire il flusso di lavoro.
Workflow Studio può generare IAM politiche per quanto segue:
-
Attività HTTP che richiamano HTTPS APIs.
-
Stati di attività che chiamano altri Servizi AWS utenti utilizzando integrazioni ottimizzate, ad esempio Lambda Invoca, DynamoDB GetItem, oppure AWS Glue StartJobRun.
-
Stati delle attività che eseguono flussi di lavoro annidati.
-
Elenco degli stati della mappa distribuita, comprese le politiche per avviare le esecuzioni secondarie dei flussi di lavoro Amazon S3 bucket e oggetti S3 di lettura o scrittura.
-
X-Raytracciamento. Ogni ruolo generato automaticamente in Workflow Studio contiene una politica che concede le autorizzazioni alla macchina a stati per inviare tracce a X-Ray.
-
Utilizzo di CloudWatch Logs per registrare la cronologia delle esecuzioni in Step Functionsquando la registrazione è abilitata sulla macchina a stati.
Workflow Studio non può generare IAM politiche per gli stati Task che chiamano altri Servizi AWS tramite integrazioni AWS SDK.
Generazione automatica di ruoli
-
Apri la console Step Functions
e scegli Crea macchina a stati. Puoi anche aggiornare una macchina a stati esistente. Fai riferimento al Passaggio 4 se stai aggiornando una macchina a stati.
-
Nella finestra di dialogo Scegli un modello, seleziona Vuoto.
-
Scegliete Seleziona per aprire Workflow Studio inmodalità di progettazione.
-
Scegli la scheda Config.
-
Scorri verso il basso fino alla sezione Autorizzazioni ed esegui le seguenti operazioni:
-
Per il ruolo di esecuzione, assicurati di mantenere la selezione predefinita di Crea nuovo ruolo.
Workflow Studio genera automaticamente tutto il necessario IAM politiche per ogni stato valido nella definizione della macchina a stati. Visualizza un banner con il messaggio, Verrà creato un ruolo di esecuzione con autorizzazioni complete.
Suggerimento
Per esaminare le autorizzazioni generate automaticamente da Workflow Studio per la tua macchina a stati, scegli Rivedi le autorizzazioni generate automaticamente.
Nota
Se elimini il ruolo IAM creato da Step Functions, Step Functions non può ricrearlo in un secondo momento. Allo stesso modo, se modifichi il ruolo (ad esempio, rimuovendo Step Functions dai principi nella policy IAM), Step Functions non può ripristinare le impostazioni originali in un secondo momento.
Se Workflow Studio non è in grado di generare tutto il necessario IAM politiche, visualizza un banner con il messaggio Le autorizzazioni per determinate azioni non possono essere generate automaticamente. Un record IAM il ruolo verrà creato solo con autorizzazioni parziali. Per informazioni su come aggiungere le autorizzazioni mancanti, vedereRisoluzione dei problemi relativi alla generazione di ruoli.
-
Scegli Crea se stai creando una macchina a stati. Altrimenti, scegliere Save (Salva).
-
Scegli Conferma nella finestra di dialogo che appare.
Workflow Studio salva la macchina a stati e crea il nuovo ruolo di esecuzione.
-
Risoluzione dei problemi relativi alla generazione di ruoli
Workflow Studio non è in grado di generare automaticamente un ruolo di esecuzione con tutte le autorizzazioni richieste nei seguenti casi:
-
Sono presenti errori nella macchina a stati. Assicurati di risolvere tutti gli errori di convalida in Workflow Studio. Inoltre, assicuratevi di correggere eventuali errori sul lato server riscontrati durante il salvataggio.
-
La tua macchina a stati contiene attività che utilizzano integrazioni AWS SDK. Workflow Studio non può essere generato automaticamente IAM politiche in questo caso. Workflow Studio visualizza un banner con il messaggio «Le autorizzazioni per determinate azioni non possono essere generate automaticamente». Un record IAM il ruolo verrà creato solo con autorizzazioni parziali. Nella tabella Rivedi le autorizzazioni generate automaticamente, scegli il contenuto in Stato per ulteriori informazioni sulle politiche mancanti nel tuo ruolo di esecuzione. Workflow Studio può ancora generare un ruolo di esecuzione, ma questo ruolo non lo conterrà IAM politiche per tutte le azioni. Consulta i link alla sezione Collegamenti alla documentazione per scrivere le tue politiche e aggiungerle al ruolo dopo che queste sono state generate. Questi collegamenti sono disponibili anche dopo aver salvato la macchina a stati.
Ruolo per il test delle attività HTTP in Workflow Studio
Il test dello stato di un task HTTP richiede un ruolo di esecuzione. Se non disponi di un ruolo con autorizzazioni sufficienti, utilizza una delle seguenti opzioni per creare un ruolo:
-
Genera automaticamente un ruolo con Workflow Studio (consigliato): questa è l'opzione sicura. Chiudi la finestra di dialogo Test state e segui le istruzioni riportate inGenerazione automatica di ruoli. Ciò richiederà prima di creare o aggiornare la macchina a stati, quindi tornare in Workflow Studio per testare lo stato.
-
Usa un ruolo con accesso da amministratore: se disponi delle autorizzazioni per creare un ruolo con accesso completo a tutti i servizi e le risorse AWS, puoi utilizzare quel ruolo per testare qualsiasi tipo di stato nel tuo flusso di lavoro. A tale scopo, puoi creare un Step Functions ruolo di servizio e aggiungere la AdministratorAccess politica nel IAM console https://console.aws.amazon.com/iam/
.
Ruolo per testare un'integrazione ottimizzata dei servizi in Workflow Studio
Task afferma che le integrazioni di servizi ottimizzati per le chiamate richiedono un ruolo di esecuzione. Se non disponi di un ruolo con autorizzazioni sufficienti, utilizza una delle seguenti opzioni per creare un ruolo:
-
Genera automaticamente un ruolo con Workflow Studio (consigliato): questa è l'opzione sicura. Chiudi la finestra di dialogo Test state e segui le istruzioni riportate inGenerazione automatica di ruoli. Ciò richiederà prima di creare o aggiornare la macchina a stati, quindi tornare in Workflow Studio per testare lo stato.
-
Usa un ruolo con accesso da amministratore: se disponi delle autorizzazioni per creare un ruolo con accesso completo a tutti i servizi e le risorse AWS, puoi utilizzare quel ruolo per testare qualsiasi tipo di stato nel tuo flusso di lavoro. A tale scopo, puoi creare un Step Functions ruolo di servizio e aggiungere la AdministratorAccess politica nel IAM console https://console.aws.amazon.com/iam/
.
Ruolo per testare l'integrazione di un servizio AWS SDK in Workflow Studio
Gli stati delle attività che richiedono integrazioni AWS SDK richiedono un ruolo di esecuzione. Se non disponi di un ruolo con autorizzazioni sufficienti, utilizza una delle seguenti opzioni per creare un ruolo:
-
Genera automaticamente un ruolo con Workflow Studio (consigliato): questa è l'opzione sicura. Chiudi la finestra di dialogo Test state e segui le istruzioni riportate inGenerazione automatica di ruoli. Ciò richiederà prima di creare o aggiornare la macchina a stati, quindi tornare in Workflow Studio per testare lo stato. Esegui questa operazione:
-
Chiudete la finestra di dialogo Test state
-
Scegli la scheda Config per visualizzare la modalità Config.
-
Scorri verso il basso fino alla sezione Autorizzazioni.
-
Workflow Studio visualizza un banner con il messaggio «Le autorizzazioni per determinate azioni non possono essere generate automaticamente». Un record IAM il ruolo verrà creato solo con autorizzazioni parziali. Scegli Rivedi le autorizzazioni generate automaticamente.
-
La tabella Rivedi le autorizzazioni generate automaticamente visualizza una riga che mostra l'azione corrispondente allo stato dell'attività che desideri testare. Consulta i link nella sezione Collegamenti alla documentazione per scriverne uno personalizzato IAM politiche in un ruolo personalizzato.
-
-
Usa un ruolo con accesso da amministratore: se disponi delle autorizzazioni per creare un ruolo con accesso completo a tutti i servizi e le risorse in AWS, puoi utilizzare quel ruolo per testare qualsiasi tipo di stato nel tuo flusso di lavoro. A tale scopo, puoi creare un Step Functions ruolo di servizio e aggiungere la AdministratorAccess politica nel IAM console https://console.aws.amazon.com/iam/
.
Ruolo per testare gli stati del flusso in Workflow Studio
È necessario un ruolo di esecuzione per testare gli stati del flusso in Workflow Studio. Gli stati del flusso sono quegli stati che dirigono il flusso di esecuzioneStato del workflow di scelta, ad esempio Stato del flusso di lavoro paralleloStato del flusso di lavoro della mappa,Passare lo stato del workflow,Attendi lo stato del workflow,,Stato del flusso di lavoro Success, oStato del flusso di lavoro fallito. L'TestStateAPI non funziona con gli stati Map o Parallel. Utilizza una delle seguenti opzioni per creare un ruolo per testare lo stato di un flusso:
-
Usa qualsiasi ruolo nel tuo Account AWS (consigliato): gli stati di flusso non richiedono alcun ruolo specifico IAM politiche, perché non richiedono AWS azioni o risorse. Pertanto, puoi usarne uno IAM ruolo nel tuo Account AWS.
-
Nella finestra di dialogo Stato del test, seleziona un ruolo dall'elenco a discesa Ruolo di esecuzione.
-
Se non viene visualizzato alcun ruolo nell'elenco a discesa, procedi come segue:
-
Nel IAM console https://console.aws.amazon.com/iam/
, scegli Ruoli. -
Scegliete un ruolo dall'elenco e copiatene l'ARN dalla pagina dei dettagli del ruolo. È necessario fornire questo ARN nella finestra di dialogo Test state.
-
Nella finestra di dialogo Stato del test, selezionare Inserisci un ruolo ARN dall'elenco a discesa Ruolo di esecuzione.
-
Incolla l'ARN in Role ARN.
-
-
-
Usa un ruolo con accesso da amministratore: se disponi delle autorizzazioni per creare un ruolo con accesso completo a tutti i servizi e le risorse AWS, puoi utilizzare quel ruolo per testare qualsiasi tipo di stato nel tuo flusso di lavoro. A tale scopo, puoi creare un Step Functions ruolo di servizio e aggiungere la AdministratorAccess politica nel IAM console https://console.aws.amazon.com/iam/
.
