Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
AWS Step Functions - це сервіс робочих процесів, який дозволяє вам координувати та організовувати кілька сервісів AWS у безсерверні робочі процеси. Використовуючи AWS Step Functions, ви можете проектувати та виконувати робочі процеси, які з'єднують різні сервіси AWS, такі як AWS Lambda, Amazon S3, Amazon DynamoDB та багато інших, у послідовності кроків. Цей сервіс оркестрації надає візуальний інтерфейс робочого процесу та пропонує можливості машини станів, що дозволяє вам визначати кожен крок робочого процесу декларативним чином, використовуючи JSON-формат Amazon States Language (ASL).
AWS Step Functions пропонує два типи робочих процесів машини станів: Стандартний та Експрес.
Стандартний робочий процес: Цей тип робочого процесу за замовчуванням призначений для тривалих, надійних та аудиторських процесів. Він підтримує точне виконання один раз, забезпечуючи виконання завдань лише один раз, якщо не вказані повторні спроби. Ідеально підходить для робочих процесів, які потребують детальної історії виконання, і може тривати до одного року.
Експрес робочий процес: Цей тип ідеально підходить для завдань з високим обсягом та короткою тривалістю, що тривають до п'яти хвилин. Вони підтримують принаймні одне виконання, що підходить для ідемпотентних завдань, таких як обробка даних. Ці робочі процеси оптимізовані для витрат та продуктивності, стягуючи плату на основі виконань, тривалості та використання пам'яті.
Стан є основними одиницями машин станів. Вони визначають окремі кроки в робочому процесі, здатні виконувати різноманітні функції залежно від їх типу:
Завдання: Виконує роботу, часто використовуючи сервіс AWS, такий як Lambda.
Вибір: Приймає рішення на основі введення.
Помилка/Успіх: Завершує виконання з помилкою або успіхом.
Пропуск: Передає введення на вихід або вводить дані.
Очікування: Затримує виконання на встановлений час.
Паралельний: Ініціює паралельні гілки.
Карта: Динамічно ітерує кроки над елементами.
Стан Завдання представляє собою одиничну одиницю роботи, виконувану машиною станів. Завдання можуть викликати різні ресурси, включаючи активності, функції Lambda, сервіси AWS або сторонні API.
Активності: Користувацькі працівники, які ви керуєте, підходять для тривалих процесів.
Ресурс: arn:aws:states:region:account:activity:name.
Функції Lambda: Виконує функції AWS Lambda.
Ресурс: arn:aws:lambda:region:account:function:function-name.
Сервіси AWS: Інтегрується безпосередньо з іншими сервісами AWS, такими як DynamoDB або S3.
Ресурс: arn:partition:states:region:account:servicename:APIname.
HTTP Завдання: Викликає сторонні API.
Поле ресурсу: arn:aws:states:::http:invoke. Потім ви повинні надати деталі конфігурації кінцевої точки API, такі як URL API, метод та деталі аутентифікації.
Наступний приклад показує визначення стану Завдання, яке викликає функцію Lambda під назвою HelloWorld:
Стан Choice додає умовну логіку до робочого процесу, що дозволяє приймати рішення на основі вхідних даних. Він оцінює вказані умови та переходить до відповідного стану на основі результатів.
Порівняння: Кожне правило вибору включає оператор порівняння (наприклад, NumericEquals, StringEquals), який порівнює змінну введення з вказаним значенням або іншою змінною.
Поле Next: Стан вибору не підтримує поле End, натомість вони визначають стан Next для переходу, якщо порівняння є істинним.
Приклад стану Choice:
Стан Fail зупиняє виконання машини станів і позначає його як невдале. Він використовується для вказівки назви помилки та причини, надаючи деталі про невдачу. Цей стан є термінальним, що означає, що він завершує потік виконання.
Стан Succeed зупиняє виконання успішно. Він зазвичай використовується для завершення робочого процесу, коли він успішно завершується. Цей стан не вимагає поля Next.
Стан Pass передає свій вхідний сигнал на вихід або без виконання будь-якої роботи, або перетворюючи вхідний JSON стан за допомогою фільтрів, а потім передаючи перетворені дані до наступного стану. Це корисно для тестування та побудови станів машин, дозволяючи вам впроваджувати статичні дані або перетворювати їх.
Стан Wait затримує виконання машини станів на вказаний проміжок часу. Існує три основні методи для налаштування часу очікування:
X Seconds: Фіксована кількість секунд для очікування.
Absolute Timestamp: Точний час, до якого потрібно чекати.
Dynamic Wait: На основі вхідних даних, використовуючи SecondsPath або TimestampPath.
Стан Parallel дозволяє виконувати кілька гілок завдань одночасно у вашому робочому процесі. Кожна гілка виконується незалежно та обробляє свою власну послідовність станів. Виконання чекає, поки всі гілки завершаться, перш ніж перейти до наступного стану. Його ключові поля:
Branches: Масив, що визначає паралельні шляхи виконання. Кожна гілка є окремою машиною станів.
ResultPath: Визначає, де (вхідних даних) розмістити об'єднаний вихід гілок.
Retry and Catch: Налаштування обробки помилок для паралельного стану.
Стан Map дозволяє виконання набору кроків для кожного елемента в наборі даних. Він використовується для паралельної обробки даних. В залежності від того, як ви хочете обробляти елементи набору даних, Step Functions надає такі режими:
Inline Mode: Виконує підмножину станів для кожного елемента JSON масиву. Підходить для маломасштабних завдань з менше ніж 40 паралельними ітераціями, виконуючи кожну з них у контексті робочого процесу, що містить стан Map.
Distributed Mode: Призначений для великомасштабної паралельної обробки з високою конкурентністю. Підтримує обробку великих наборів даних, таких як ті, що зберігаються в Amazon S3, що дозволяє високій конкурентності до 10,000 паралельних виконань дочірніх робочих процесів, виконуючи ці дочірні як окреме дочірнє виконання.
Step Functions також дозволяє вам керувати розгортаннями робочих процесів через версії та псевдоніми станів машин. Версія представляє знімок стану машини, який може бути виконаний. Псевдоніми служать вказівниками на до двох версій стану машини.
Versions: Ці незмінні знімки стану машини створюються з найостаннішої ревізії цієї стану машини. Кожна версія ідентифікується унікальним ARN, який поєднує ARN стану машини з номером версії, розділеним двокрапкою (arn:aws:states:region:account-id:stateMachine:StateMachineName:version-number). Версії не можуть бути відредаговані, але ви можете оновити стан машини та опублікувати нову версію або використовувати бажану версію стану машини.
Aliases: Ці вказівники можуть посилатися на до двох версій однієї й тієї ж стану машини. Можна створити кілька псевдонімів для однієї стану машини, кожен з яких ідентифікується унікальним ARN, побудованим шляхом поєднання ARN стану машини з назвою псевдоніма, розділеною двокрапкою (arn:aws:states:region:account-id:stateMachine:StateMachineName:aliasName). Псевдоніми дозволяють маршрутизацію трафіку між однією з двох версій стану машини. Альтернативно, псевдонім може вказувати на одну конкретну версію стану машини, але не на інші псевдоніми. Їх можна оновити, щоб перенаправити на іншу версію стану машини за потреби, що полегшує контрольовані розгортання та управління робочими процесами.
Для отримання більш детальної інформації про ASL перегляньте: Amazon States Language.
AWS Step Functions використовує ролі AWS Identity and Access Management (IAM) для контролю доступу до ресурсів і дій у станах машин. Ось ключові аспекти, пов'язані з безпекою та ролями IAM у AWS Step Functions:
Execution Role: Кожна стан машина в AWS Step Functions асоційована з роллю виконання IAM. Ця роль визначає, які дії стан машина може виконувати від вашого імені. Коли стан машина переходить між станами, які взаємодіють з сервісами AWS (наприклад, виклик функцій Lambda, доступ до DynamoDB тощо), вона приймає цю роль виконання для виконання цих дій.
Permissions: Роль виконання IAM повинна бути налаштована з дозволами, які дозволяють необхідні дії з іншими сервісами AWS. Наприклад, якщо ваша стан машина повинна викликати функції AWS Lambda, роль IAM повинна мати дозволи lambda:InvokeFunction. Аналогічно, якщо їй потрібно записувати в DynamoDB, повинні бути надані відповідні дозволи (dynamodb:PutItem, dynamodb:UpdateItem тощо).
Політика ReadOnlyAccess достатня для всіх наступних дій перерахування.
На наступній сторінці ви можете перевірити, як зловживати дозволами Step Functions для ескалації привілеїв:
AWS - Step Functions PrivescВивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
