如何通过TypeScript版AWS CDK成功部署嵌套Step Functions？

嵌套Step Functions的权限问题通常出在两个环节：外层状态机角色的权限配置不全，或者状态机定义中的调用任务配置错误。以下是两种常见场景的可运行代码示例及关键配置说明：

场景1：同一栈内创建内外层状态机 #

这种场景下CDK可以自动关联资源并配置最小权限：

import * as cdk from 'aws-cdk-lib';
import * as sfn from 'aws-cdk-lib/aws-stepfunctions';
import * as tasks from 'aws-cdk-lib/aws-stepfunctions-tasks';

export class NestedStepFunctionsStack extends cdk.Stack {
  constructor(scope: cdk.App, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    // 创建内层状态机
    const innerDefinition = new sfn.Pass(this, 'InnerPass', {
      result: sfn.Result.fromObject({ message: 'Inner State Machine Executed' }),
    });

    const innerStateMachine = new sfn.StateMachine(this, 'InnerStateMachine', {
      definition: innerDefinition,
      stateMachineType: sfn.StateMachineType.STANDARD,
    });

    // 创建外层状态机的调用任务：触发内层执行
    const startInnerExecution = new tasks.StepFunctionsStartExecution(this, 'StartInnerExecution', {
      stateMachine: innerStateMachine,
      input: sfn.TaskInput.fromObject({
        "input.$": "$", // 传递外层输入到内层
      }),
      integrationPattern: sfn.IntegrationPattern.RUN_JOB, // 可选，若需等待内层执行完成则用此模式
    });

    // 外层状态机定义
    const outerDefinition = startInnerExecution;
    const outerStateMachine = new sfn.StateMachine(this, 'OuterStateMachine', {
      definition: outerDefinition,
      stateMachineType: sfn.StateMachineType.STANDARD,
    });

    // 授予外层角色触发内层的权限
    innerStateMachine.grantStartExecution(outerStateMachine.role);
    // 若需停止内层执行，添加以下权限：
    // innerStateMachine.grantStopExecution(outerStateMachine.role);
  }
}

场景2：调用已存在的内层状态机（你的场景） #

如果内层状态机已经在其他栈或账号存在，需要先通过ARN引用，再配置权限：

import * as cdk from 'aws-cdk-lib';
import * as sfn from 'aws-cdk-lib/aws-stepfunctions';
import * as tasks from 'aws-cdk-lib/aws-stepfunctions-tasks';

export class OuterStepFunctionsStack extends cdk.Stack {
  constructor(scope: cdk.App, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    // 引用已存在的内层状态机，替换为实际ARN
    const innerStateMachineArn = 'arn:aws:states:us-east-1:123456789012:stateMachine:InnerStateMachine';
    const innerStateMachine = sfn.StateMachine.fromStateMachineArn(this, 'ExistingInnerStateMachine', innerStateMachineArn);

    // 外层状态机的调用任务
    const startInnerExecution = new tasks.StepFunctionsStartExecution(this, 'StartInnerExecution', {
      stateMachine: innerStateMachine,
      input: sfn.TaskInput.fromObject({
        "input.$": "$",
      }),
      integrationPattern: sfn.IntegrationPattern.RUN_JOB,
    });

    // 外层状态机定义
    const outerDefinition = startInnerExecution;
    const outerStateMachine = new sfn.StateMachine(this, 'OuterStateMachine', {
      definition: outerDefinition,
      stateMachineType: sfn.StateMachineType.STANDARD,
    });

    // 授予外层角色触发内层的权限
    innerStateMachine.grantStartExecution(outerStateMachine.role);
    // 若需停止内层执行，添加：
    // innerStateMachine.grantStopExecution(outerStateMachine.role);
  }
}

关键配置要点 #

• 优先使用CDK内置grant方法：grantStartExecution和grantStopExecution会自动生成最小权限的IAM策略，限定权限到目标内层状态机的ARN，避免手动配置策略时出现资源范围错误或动作遗漏。
• JSON定义文件的注意事项：如果外层状态机用DefinitionBody.fromFile加载JSON定义，需确保StartExecution任务的Resource字段正确（同步调用用arn:aws:states:::states:startExecution.sync，异步用arn:aws:states:::states:startExecution），且StateMachineArn参数为内层状态机的正确ARN，同时仍需通过CDK的grant方法给外层角色授权。
• 资源策略自动配置：CDK的grant方法会自动向内层状态机的资源策略添加允许外层角色调用的规则，无需手动修改内层状态机的权限。

常见问题排查 #

• 检查外层状态机角色的IAM策略，确认包含states:StartExecution（或states:StopExecution）动作，且资源为内层状态机的ARN。
• 若跨账号调用，需确保内层状态机的资源策略允许目标账号的角色访问，同时外层角色的策略包含跨账号调用的权限。
• 确认状态机定义中的StartExecution任务参数无误，尤其是StateMachineArn和输入参数格式。

内容的提问来源于stack exchange，提问作者alpha34