StepFunction角色缺少states:StartExecution权限，SAM部署遇循环依赖

问题根源 #

你的Step Functions使用Map状态时，需要启动子执行实例，因此执行角色必须拥有states:StartExecution权限。但直接通过SAM/CFN给隐式生成的角色添加该权限时，会出现循环依赖——因为StepFunction需要引用角色，而角色的权限策略又需要引用StepFunction的ARN，两者互相依赖导致部署失败。

两种程序化解决方案 #

方法1：使用通配符资源简化权限配置 #

如果你的场景允许较宽泛的权限范围，可以在角色的策略中使用通配符指定states:StartExecution的资源，避免直接引用当前StepFunction的ARN，从而消除循环依赖。

示例SAM配置：

MyStateMachine:
  Type: AWS::Serverless::StateMachine
  Properties:
    DefinitionUri: statemachine/your-definition.asl.json
    Policies:
      - AWSLambdaRole
      - AmazonS3FullAccess
      - Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Action: states:StartExecution
            Resource: !Sub arn:aws:states:${AWS::Region}:${AWS::AccountId}:execution:*:*
    # 其他配置（如日志等）

方法2：显式拆分角色与权限策略（严格权限场景） #

如果需要严格限定权限到当前StepFunction，可通过显式创建角色、单独定义IAM策略并设置依赖关系来打破循环：

1. 显式创建StepFunction执行角色

MyStepFunctionRole:
  Type: AWS::IAM::Role
  Properties:
    AssumeRolePolicyDocument:
      Version: '2012-10-17'
      Statement:
        - Effect: Allow
          Principal:
            Service: states.amazonaws.com
          Action: sts:AssumeRole
    ManagedPolicyArns:
      - arn:aws:iam::aws:policy/service-role/AWSLambdaRole
      - arn:aws:iam::aws:policy/AmazonS3FullAccess
      # 其他已有托管策略

2. 定义StepFunction资源并引用上述角色

MyStateMachine:
  Type: AWS::Serverless::StateMachine
  Properties:
    DefinitionUri: statemachine/your-definition.asl.json
    Role: !GetAtt MyStepFunctionRole.Arn
    # 其他配置

3. 单独创建权限策略，依赖StepFunction资源以确保ARN已生成

StartExecutionPolicy:
  Type: AWS::IAM::Policy
  Properties:
    PolicyName: StepFunctionStartExecutionPolicy
    PolicyDocument:
      Version: '2012-10-17'
      Statement:
        - Effect: Allow
          Action: states:StartExecution
          Resource: !Sub arn:aws:states:${AWS::Region}:${AWS::AccountId}:execution:${MyStateMachine}*
    Roles:
      - !Ref MyStepFunctionRole
  DependsOn: MyStateMachine

原理说明 #

手动在控制台添加权限可行，是因为此时StepFunction和角色均已存在，无需处理部署阶段的资源依赖关系。而上述两种程序化方案，要么通过通配符规避直接ARN引用，要么通过拆分资源并设置DependsOn确保StepFunction先创建完成，再附加包含其ARN的权限策略，从而解决循环依赖问题。

内容的提问来源于stack exchange，提问作者Nimolas