Step Functions でクロスアカウント AWS リソースにアクセスする

Step Functions コンソールを開き、[ステートマシンの作成] を選択します。

‬[オーサリング方法を選択]‭ ページで ‬[ワークフローを視覚的に設計]‭‬ を選択し、すべてをデフォルトの選択のままにします。

Workflow Studio を開くには、[次へ] を選択します。

[アクション] タブで、Task 状態をキャンバスにドラッグアンドドロップします。これで、この Task 状態を使用しているクロスアカウントの Lambda 関数が呼び出されます。

[設定] タブで以下の操作を行います。

1. 状態の名前を Cross-account call に変更します。

2. [関数名] で [関数名を入力] を選択し、ボックスに Lambda 関数の ARN を入力します。例えば、arn:aws:lambda:us-east-2:111122223333:function:Echo と指定します。

3. [IAM ロールの ARN を指定] でターゲットの IAM ロール ARN を指定します。例えば、arn:aws:iam::111122223333:role/LambdaRole と指定します。

   ヒント

   またはその状態の JSON 入力で、IAM ロールの ARN を含む既存の key-value ペアへの参照パスも指定できます。これを行うには、[状態入力からランタイムに IAM ロール ARN を取得する] を選択します。参照パスを使用して値を指定する例については、IAM ロールJSONPathとしての の指定 ARNを参照してください。

[次へ] をクリックします。

[生成されたコードを確認] ページで [次へ] を選択します。

[ステートマシン設定を指定] ページで、名前、権限、ログレベルなど、新しいステートマシンの詳細を指定します。

[ステートマシンの作成] を選択します。

ステートマシンの IAM ロール ARN とステートマシン ARN をテキストファイルにメモしておきます。ターゲットアカウントの信頼ポリシーで、これらの ARN を指定する必要があります。

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

コンソールのナビゲーションペインで、[ロール]を選択し、[検索] ボックスでターゲットの IAM ロールを検索します。例えば、LambdaRole と指定します。

[信頼関係] タブを選択します。

[信頼ポリシーを編集] を選択して、次のポリシーを貼り付けます。AWS アカウント 番号と IAM ロール ARN を必ず置き換えてください。sts:ExternalId フィールドでは、ロールを引き受けられるユーザーをさらに制御できます。ステートマシンの名前に含められるのは、AWS Security Token Service AssumeRole API がサポートする文字のみです。詳細については、「AWS Security Token Service API リファレンス」の「AssumeRole」を参照してください。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/ExecutionRole"  // The source account's state machine execution role ARN
      },
      "Condition": {  // Control which account and state machine can assume the target IAM role
        "StringEquals": {
          "sts:ExternalId": "arn:aws:states:us-east-1:123456789012:stateMachine:testCrossAccount"   //// ARN of the state machine that will assume the role.
        }
      }
    }
  ]
}

以降のアクションに進むには、このウィンドウを開いたままで次のステップに進みます。

[アクセス許可] タブを選択します。

[アクセス許可を追加]、[インラインポリシーを作成] の順に選択します。

[JSON] タブを選択し、既存の内容を次の許可に置き換えます。必ず Lambda 関数の ARN を置き換えてください。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "lambda:InvokeFunction",
      "Resource": "arn:aws:lambda:us-east-2:111122223333:function:Echo"  // The cross-account AWS resource being accessed
    }
  ]
}

[ポリシーを確認] を選択します。

[ポリシーを確認] ページで許可の名前を入力し、[ポリシーを作成] を選択します。

https://console.aws.amazon.com/iam/ の IAM コンソール内でステートマシンの実行ロールを開きます。これを実行するには:

1. ステップ 1 でソースアカウント内に作成したステートマシンを開きます。

2. [ステートマシンの詳細] ページで、[IAM ロールの ARN] を選択します。

[許可] タブで [アクセス許可を追加] を選択し、次に[インラインポリシーを作成] を選択します。

[JSON] タブを選択し、既存の内容を次の許可に置き換えます。必ず Lambda 関数の ARN を置き換えてください。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::111122223333:role/LambdaRole"  // The target role to be assumed
    }
  ]
}

[ポリシーを確認] を選択します。

[ポリシーを確認] ページで許可の名前を入力し、[ポリシーを作成] を選択します。