Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 Amazon Web Services 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon Simple Workflow Service 中的 Identity and Access Management

访问 Amazon Step Functions 时需要可供 Amazon 用来验证您的请求的凭证。这些凭证必须有权访问 Amazon 资源，例如从其他 Amazon 资源检索事件数据。以下部分提供详细的信息来说明如何使用Amazon Identity and Access Management(IAM)和 Step Functions 来控制谁能访问您的资源，从而帮助对这些资源进行保护。

Authentication

您可以以下面任一类型的身份访问 Amazon：

访问控制

您可以使用有效的凭证来对自己的请求进行身份验证，但您还必须拥有权限才能创建或访问 Amazon SWF 资源。例如，您必须拥有调用的权限。Amazon Lambda、Amazon Simple Notification Service (Amazon SNS) 和 Amazon Simple Queue Service (Amazon SQS) 目标，与 Amazon SWF 规则相关联。

以下部分介绍如何管理 Amazon SWF 的权限。我们建议您先阅读概述。

基本原理

Amazon SWF 访问控制主要基于两种权限：

最简单的方法是授予完全账户访问权限（在任何域中调用任何 Amazon SWF 操作）或完全拒绝访问权限。但是，IAM 支持更细粒度的访问控制方法，这种方法通常更有用。例如，您可以：

Amazon SWF 访问控制基于以下原则：

有关能用条件进行限制的常规和伪 API 参数的摘要，请参阅 API 摘要。

Amazon SWF IAM 策略

IAM 策略包含一个或多个Statement元素，每个元素都包含一组定义策略的元素。有关元素的完整列表和如何构建策略的一般性讨论，请参阅访问策略语言。Amazon SWF 访问控制基于以下元素：

下一节提供了如何构建 Amazon SWF 策略的示例。有关详细信息，请参阅字符串条件。

Amazon SWF 策略示例

工作流由多个角色组成 — 活动、决策者等。您可以通过附加适当的 IAM 策略控制每个参与者的访问权限。本章节提供了一些示例。以下所示为最简单的案例：

{
   "Version": "2012-10-17",
   "Statement" : [ {
      "Effect" : "Allow",
      "Action" : "swf:*",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/*"
   } ]
}        

如果您将此策略附加到参与者，它对所有地区的账户都有访问权。您可以使用通配符利用一个值来表示多个资源、操作或地区。

有关通配符使用方法的详细信息，请参阅元素描述

以下章节显示的是以更精细方法授予权限的策略的示例。

域权限

如果您想将部门工作流限制到一个特定域中，您可以使用与下述类似的方法：

{
   "Version": "2012-10-17",
   "Statement": [ {
      "Effect" : "Allow",
      "Action" : "swf:*",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/department1"
   } ]
}           

如果您附加此策略到参与者，它可以调用任何操作，但只能针对 department1 域。

如果您希望参与者有权访问多个域，您可以针对每个域单独授予权限，如下所述：

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect" : "Allow",
         "Action" : "swf:*",
         "Resource" : "arn:aws:swf:*:123456789012:/domain/department1"
      }, {
         "Effect" : "Allow",
         "Action" : "swf:*",
         "Resource" : "arn:aws:swf:*:123456789012:/domain/department2"
      }
   ]
}           

如果将此策略附加到操作者，它可以使用department1和department2域。有时候，您还可以使用通配符表示多个域。

API 权限和约束条件

您控制用户可以对 Action 操作元素使用哪些操作。您可以选择通过使用 Condition 元素限制操作的可允许参数值。

如果您想将参与者限制为只进行特定操作，您可以使用与下述类似的方法：

{
   "Version": "2012-10-17",
   "Statement": [ {
      "Effect" : "Allow",
      "Action" : "swf:StartWorkflowExecution",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/department2"
   } ]
}           

如果将此策略附加到操作者，它能调用 StartWorkflowExecution 在 department2 域中启动工作流。它不能在任何其他域中使用任何其他操作或启动工作流。

您可以进一步限制参与者通过限制一个或多个 StartWorkflowExecution 参数值启动的工作流范围，如下所述：

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect" : "Allow",
         "Action" : "swf:StartWorkflowExecution",
         "Resource" : "arn:aws:swf:*:123456789012:/domain/department1",
         "Condition" : {
            "StringEquals" : { 
               "swf:workflowType.name" : "workflow1",
               "swf:workflowType.version" : "version2" 
            }
         }
      }
   ]
}           

此策略限制 StartWorkflowExecution 操作的 name 和 version 参数。如果将此策略附加到操作者，它只能在 department1 域中运行 workflow1 的 version2，且两个参数都必须包含在请求中。

您可以使用 StringEqualsIfExists 运算符限制操作，无需将其包含在请求中，如下所述：

{
   "Version": "2012-10-17",
   "Statement" : [ {
      "Effect" : "Allow",
      "Action" : "swf:StartWorkflowExecution",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/some_domain",
      "Condition" : {
         "StringEqualsIfExists" : { "swf:taskList.name" : "task_list_name" }
      }
   } ]
}           

参与者可通过此策略在启动工作流执行时选择性地指定任务列表。

您可以限制某些操作的标签列表。在此情况下，每个标签都有一个单独的密钥，所以您会使用 swf:tagList.member.0 限制列表中的第一个标签，使用 swf:tagList.member.1 限制列表中的第二个标签，以此类推，最多能限制 5 个。但是，对于标签列表的限制方法，您必须要谨慎。关于实例，下面是非推荐策略的示例：

{
   "Version": "2012-10-17",
   "Statement" : [ {
      "Effect" : "Allow",
      "Action" : "swf:StartWorkflowExecution",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/some_domain",
      "Condition" : {
         "StringEqualsIfExists" : {
            "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
         }
      }
   } ]
}           

此策略允许您选择指定 some_ok_tag 或 another_ok_tag。但是，此策略只会限制标签列表的第一个元素。列表可以有包含都会被允许的任意值的其他元素，因为此策略不会对 swf:tagList.member.1、swf:tagList.member.2 等等应用任何条件。

解决此问题的一个方法是禁止使用标签列表。以下策略要求列表中只能包含一个元素，从而确保只允许有 some_ok_tag 或 another_ok_tag。

{
   "Version": "2012-10-17",
   "Statement" : [ {
      "Effect" : "Allow",
      "Action" : "swf:StartWorkflowExecution",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/some_domain",
      "Condition" : {
         "StringEqualsIfExists" : {
            "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
         },
         "Null" : { "swf:tagList.member.1" : "true" }
      }
   } ]
}          

伪 API 权限和约束条件

如果您想限制提供给 RespondDecisionTaskCompleted 的决策，您首先必须允许参与者调用 RespondDecisionTaskCompleted。然后，您可以使用常规 API 的句法，授予适当伪 API 成员权限，如下所示：

{
   "Version": "2012-10-17",
   "Statement" : [
      {
         "Resource" : "arn:aws:swf:*:123456789012:/domain/*",
         "Action" : "swf:RespondDecisionTaskCompleted",
         "Effect" : "Allow"
      }, {
         "Resource" : "*",
         "Action" : "swf:ScheduleActivityTask",
         "Effect" : "Allow",
         "Condition" : {
            "StringEquals" : { "swf:activityType.name" : "SomeActivityType" }
         }
      }
   ]
}           

如果您将此策略附加到参与者，第一个 Statement 元素将允许参与者调用 RespondDecisionTaskCompleted。第二个元素允许操作者使用ScheduleActivityTask决策，使 Amazon SWF 排定活动任务。为了允许所有决策，用 "swf:*" 替代 "swf:ScheduleActivityTask"。

您可以使用 Condition 运算符像使用常规 API 一样地限制参数。此 Condition 的 StringEquals 运算符允许 RespondDecisionTaskCompleted 为 SomeActivityType 活动安排一个活动任务，并且它必须安排该任务。如果您想要允许 RespondDecisionTaskCompleted 使用一个参数值但又不需要它这样做，您可以替代使用 StringEqualsIfExists 运算符。

IAM 策略的服务模型限制

在创建 IAM 策略时，必须考虑服务模型约束条件。创建一个代表有效 Amazon SWF 请求的在句法上有效的 IAM 策略是有可能的；在访问控制方面得到允许的请求仍然失败，因为它是无效的请求。

对于实例，ListOpenWorkflowExecutions不 建议对 使用以下策略：

{
   "Version": "2012-10-17",
   "Statement" : [ {
      "Effect" : "Allow",
      "Action" : "swf:ListOpenWorkflowExecutions",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/domain_name",
      "Condition" : {
         "StringEquals" : { 
            "swf:typeFilter.name" : "workflow_name",
            "swf:typeFilter.version" : "workflow_version",
            "swf:tagFilter.tag" : "some_tag" 
         }
      }
   } ]
}        

Amazon SWF 服务模型不允许typeFilter和tagFilter参数要用于同一ListOpenWorkflowExecutions请求. 因此，该策略允许服务将拒绝的调用 — 通过抛出ValidationException— 作为无效请求。

API 摘要

本章节简要描述了可以如何使用 IAM 策略对参与者使用各 API 和伪 API 访问 Amazon SWF 资源的方法进行控制。

以下章节列出了可针对每个常规和伪 API 成员限制的参数，并提供了相关密钥，指出您可以根据其控制域访问的任何限制条件。

常规 API

本章节列出了常规 API 成员，并简要描述了可进行限制的参数和相关密钥。它还指出了您可以根据其控制域访问的任何限制条件。

CountClosedWorkflowExecutions

CountOpenWorkflowExecutions

CountPendingActivityTasks

CountPendingDecisionTasks

DeprecateActivityType

DeprecateDomain

DeprecateWorkflowType

DescribeActivityType

DescribeDomain

DescribeWorkflowExecution

DescribeWorkflowType

GetWorkflowExecutionHistory

ListActivityTypes

ListClosedWorkflowExecutions

ListDomains

ListOpenWorkflowExecutions

ListWorkflowTypes

PollForActivityTask

PollForDecisionTask

RecordActivityTaskHeartbeat

RegisterActivityType

RegisterDomain

RegisterWorkflowType

RequestCancelWorkflowExecution

RespondActivityTaskCanceled

RespondActivityTaskCompleted

RespondActivityTaskFailed

RespondDecisionTaskCompleted

SignalWorkflowExecution

StartWorkflowExecution

TerminateWorkflowExecution

伪 API

本章节列出了表示 RespondDecisionTaskCompleted 中所包含决策的伪 API 成员。如果您已授权使用 RespondDecisionTaskCompleted，您的策略会用与常规 API 相同的方法来授予此 API 成员权限。您可以通过设置一个或多个参数的条件来限制伪 API 的某些成员。本章节列出了伪 API 成员，并简要描述了可进行限制的参数与相关密钥。

CancelTimer

CancelWorkflowExecution

CompleteWorkflowExecution

ContinueAsNewWorkflowExecution

FailWorkflowExecution

RecordMarker

RequestCancelActivityTask

RequestCancelExternalWorkflowExecution

ScheduleActivityTask

SignalExternalWorkflowExecution

StartChildWorkflowExecution

StartTimer