本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Step Functions 如何为集成服务生成 IAM 策略

当您在AWS Step Functions控制台中创建状态机时，Step Functions 会根据状态机定义中使用的资源生成一个 AWS Identity and Access Management (IAM) 策略，如下所示：

动态资源与静态资源

静态资源直接在状态机的任务状态中定义。在任务状态中包含要直接调用的资源信息时，Step Functions 可以只为这些资源创建 IAM 角色。

动态资源在启动状态机时作为输入传递，或者作为输入传递给单个状态，然后使用 JSONata 或进行访问 JSONPath。当您将动态资源传递给任务时，Step Functions 无法自动缩小权限范围，因此 Step Functions 将创建一个具有更高宽松度的策略，该策略指定："Resource": "*"。

使用 .sync 的任务的额外权限

对于使用运行作业（.sync）模式的任务，需要额外的权限来监视和接收来自所连接服务的 API 的响应。

当作业在连接的服务（轮询和事件）上运行时，Step Functions 使用两种方法来监控作业的状态。

轮询需要 Describe 或 Get API 操作的权限。例如，对于 Amazon ECS，状态机必须具有允许权限ecs:DescribeTasks，因为AWS Glue状态机需要允许权限glue:GetJobRun。如果角色中缺少必需的权限，则 Step Functions 可能无法确定您的作业状态。使用轮询方法的原因之一是因为某些服务集成不支持 EventBridge事件，而有些服务仅在尽力发送事件。

或者，您可以使用从AWS服务发送到 Amazon 的事件 EventBridge。事件通过托管规则路由到 Step EventBridge Functions，因此该角色需要events:PutTargetsevents:PutRule、和events:DescribeRule的权限。如果角色中缺少这些权限，则在 Step Functions 得知您的任务已完成之前，可能会有一段延迟。有关 EventBridge 事件的更多信息，请参阅来自AWS服务的事件。

排查 .sync 工作流卡住的问题

对于同时支持轮询和事件的“运行作业”（.sync）任务，即使角色缺少轮询所需的权限，您的任务仍可以通过事件正常完成。

在前面的场景中，您可能没有注意到轮询权限缺失或不正确。在极少数情况下，事件无法传送到 Step Functions 或由 Step Functions 处理，您的执行可能会卡住。

要验证您的轮询权限配置是否正确，您可以通过以下方式在没有 EventBridge 事件的环境中运行执行

取消工作流的权限

如果使用运行作业 (.sync) 模式的任务停止，Step Functions 会尽力尝试取消该任务。

取消任务需要 Cancel、Stop、Terminate 或 Delete API 操作的权限，例如 batch:TerminateJob 或 eks:DeleteCluster。如果您的角色中缺少这些权限，Step Functions 将无法取消您的任务，而且当任务继续运行时，可能会产生额外的费用。有关停止任务的更多信息，请参阅运行任务。