AWS - Step Functions Enum
Step Functions
AWS Step Functions - це сервіс робочих процесів, який дозволяє вам координувати та організовувати кілька сервісів AWS у безсерверні робочі процеси. Використовуючи AWS Step Functions, ви можете проектувати та виконувати робочі процеси, які з'єднують різні сервіси AWS, такі як AWS Lambda, Amazon S3, Amazon DynamoDB та багато інших, у послідовності кроків. Цей сервіс оркестрації надає візуальний інтерфейс робочого процесу та пропонує можливості машини станів, що дозволяє вам визначати кожен крок робочого процесу декларативним чином, використовуючи JSON-формат Amazon States Language (ASL).
Key concepts
Standard vs. Express Workflows
AWS Step Functions пропонує два типи робочих процесів машини станів: Стандартний та Експрес.
Стандартний робочий процес: Цей тип робочого процесу за замовчуванням призначений для тривалих, надійних та аудиторських процесів. Він підтримує точне виконання один раз, забезпечуючи виконання завдань лише один раз, якщо не вказані повторні спроби. Ідеально підходить для робочих процесів, які потребують детальної історії виконання, і може працювати до одного року.
Експрес робочий процес: Цей тип ідеально підходить для завдань з високим обсягом та короткою тривалістю, що тривають до п'яти хвилин. Вони підтримують виконання принаймні один раз, що підходить для ідемпотентних завдань, таких як обробка даних. Ці робочі процеси оптимізовані для витрат та продуктивності, стягуючи плату на основі виконань, тривалості та використання пам'яті.
States
Стан є основними одиницями машин станів. Вони визначають окремі кроки в робочому процесі, здатні виконувати різноманітні функції залежно від їх типу:
Завдання: Виконує роботу, часто використовуючи сервіс AWS, такий як Lambda.
Вибір: Приймає рішення на основі вхідних даних.
Помилка/Успіх: Завершує виконання з помилкою або успіхом.
Пропустити: Передає вхідні дані на вихід або вводить дані.
Очікування: Затримує виконання на певний час.
Паралельний: Ініціює паралельні гілки.
Карта: Динамічно ітерує кроки над елементами.
Task
Стан Завдання представляє собою єдину одиницю роботи, виконувану машиною станів. Завдання можуть викликати різні ресурси, включаючи активності, функції Lambda, сервіси AWS або сторонні API.
Активності: Користувацькі працівники, які ви керуєте, підходять для тривалих процесів.
Ресурс:
arn:aws:states:region:account:activity:name
.Функції Lambda: Виконує функції AWS Lambda.
Ресурс:
arn:aws:lambda:region:account:function:function-name
.Сервіси AWS: Інтегрується безпосередньо з іншими сервісами AWS, такими як DynamoDB або S3.
Ресурс:
arn:partition:states:region:account:servicename:APIname
.HTTP Завдання: Викликає сторонні API.
Поле ресурсу:
arn:aws:states:::http:invoke
. Потім ви повинні надати деталі конфігурації кінцевої точки API, такі як URL API, метод та деталі аутентифікації.
Наступний приклад показує визначення стану Завдання, яке викликає функцію Lambda під назвою HelloWorld:
Choice
Стан Choice додає умовну логіку до робочого процесу, що дозволяє приймати рішення на основі вхідних даних. Він оцінює вказані умови та переходить до відповідного стану на основі результатів.
Порівняння: Кожне правило вибору включає оператор порівняння (наприклад,
NumericEquals
,StringEquals
), який порівнює вхідну змінну з вказаним значенням або іншою змінною.Поле Next: Стан вибору не підтримує поле
End
, натомість, вони визначають станNext
для переходу, якщо порівняння є істинним.
Приклад стану Choice:
Fail/Succeed
Стан Fail
зупиняє виконання машини станів і позначає його як невдале. Він використовується для вказівки назви помилки та причини, надаючи деталі про невдачу. Цей стан є термінальним, що означає, що він завершує потік виконання.
Стан Succeed
зупиняє виконання успішно. Він зазвичай використовується для завершення робочого процесу, коли він успішно завершується. Цей стан не вимагає поля Next
.
Pass
Стан Pass передає свій вхідний сигнал на вихід або без виконання будь-якої роботи, або перетворюючи вхідний JSON стан за допомогою фільтрів, а потім передаючи перетворені дані до наступного стану. Це корисно для тестування та побудови станів машин, дозволяючи вам впроваджувати статичні дані або перетворювати їх.
Wait
Стан Wait затримує виконання машини станів на вказаний проміжок часу. Існує три основні методи для налаштування часу очікування:
X Seconds: Фіксована кількість секунд для очікування.
Absolute Timestamp: Точний час, до якого потрібно чекати.
Dynamic Wait: На основі вхідних даних за допомогою
SecondsPath
абоTimestampPath
.
Parallel
Стан Parallel дозволяє виконувати кілька гілок завдань одночасно у вашому робочому процесі. Кожна гілка виконується незалежно та обробляє свою власну послідовність станів. Виконання чекає, поки всі гілки завершаться, перш ніж перейти до наступного стану. Його ключові поля:
Branches: Масив, що визначає паралельні шляхи виконання. Кожна гілка є окремою машиною станів.
ResultPath: Визначає, де (вхідних даних) розмістити об'єднаний вихід гілок.
Retry and Catch: Налаштування обробки помилок для паралельного стану.
Map
Стан Map дозволяє виконання набору кроків для кожного елемента в наборі даних. Він використовується для паралельної обробки даних. В залежності від того, як ви хочете обробляти елементи набору даних, Step Functions надає наступні режими:
Inline Mode: Виконує підмножину станів для кожного елемента масиву JSON. Підходить для маломасштабних завдань з менше ніж 40 паралельними ітераціями, виконуючи кожну з них в контексті робочого процесу, що містить стан
Map
.
Distributed Mode: Призначений для великомасштабної паралельної обробки з високою конкурентністю. Підтримує обробку великих наборів даних, таких як ті, що зберігаються в Amazon S3, що дозволяє високій конкурентності до 10,000 паралельних виконань дочірніх робочих процесів, виконуючи ці дочірні як окреме дочірнє виконання.
Versions and aliases
Step Functions також дозволяє вам керувати розгортаннями робочих процесів через версії та псевдоніми станів машин. Версія представляє знімок стану машини, який може бути виконаний. Псевдоніми служать вказівниками на до двох версій стану машини.
Versions: Ці незмінні знімки стану машини створюються з найостаннішої ревізії цієї стану машини. Кожна версія ідентифікується унікальним ARN, який поєднує ARN стану машини з номером версії, розділеним двокрапкою (
arn:aws:states:region:account-id:stateMachine:StateMachineName:version-number
). Версії не можуть бути відредаговані, але ви можете оновити стан машини та опублікувати нову версію або використовувати бажану версію стану машини.Aliases: Ці вказівники можуть посилатися на до двох версій однієї й тієї ж стану машини. Можна створити кілька псевдонімів для однієї стану машини, кожен з яких ідентифікується унікальним ARN, побудованим шляхом поєднання ARN стану машини з назвою псевдоніма, розділеною двокрапкою (
arn:aws:states:region:account-id:stateMachine:StateMachineName:aliasName
). Псевдоніми дозволяють маршрутизацію трафіку між однією з двох версій стану машини. Альтернативно, псевдонім може вказувати на одну конкретну версію стану машини, але не на інші псевдоніми. Їх можна оновити, щоб перенаправити на іншу версію стану машини за потреби, полегшуючи контрольовані розгортання та управління робочими процесами.
Для отримання більш детальної інформації про ASL перегляньте: Amazon States Language.
IAM Roles for State machines
AWS Step Functions використовує ролі AWS Identity and Access Management (IAM) для контролю доступу до ресурсів і дій у станах машинах. Ось ключові аспекти, пов'язані з безпекою та ролями IAM в AWS Step Functions:
Execution Role: Кожна стан машина в AWS Step Functions асоційована з роллю виконання IAM. Ця роль визначає, які дії стан машина може виконувати від вашого імені. Коли стан машина переходить між станами, які взаємодіють з сервісами AWS (наприклад, виклик функцій Lambda, доступ до DynamoDB тощо), вона приймає цю роль виконання для виконання цих дій.
Permissions: Роль виконання IAM повинна бути налаштована з дозволами, які дозволяють необхідні дії з іншими сервісами AWS. Наприклад, якщо ваша стан машина повинна викликати функції AWS Lambda, роль IAM повинна мати дозволи
lambda:InvokeFunction
. Аналогічно, якщо їй потрібно записувати в DynamoDB, повинні бути надані відповідні дозволи (dynamodb:PutItem
,dynamodb:UpdateItem
тощо).
Enumeration
Політика ReadOnlyAccess достатня для всіх наступних дій перерахування.
Privesc
На наступній сторінці ви можете перевірити, як зловживати дозволами Step Functions для ескалації привілеїв:
Post Exploitation
Persistence
References
Last updated