亚马逊AWS官方博客
基于AWS Step Functions和Amazon API Gateway的跨账号工作流服务
背景
AWS Step Functions 是一项低代码、可视化的工作流服务,让开发人员可通过 AWS 服务轻松构建分布式应用程序、自动化 IT 和业务流程并构建数据和机器学习管道。通过嵌套 Step Functions 工作流程,您可以将大型和复杂的工作流程构建为更小型和简单的多个工作流程。但是,嵌套Step Functions需要您在同一个账号上部署。而在很多实际使用场景中,需要在多个AWS账号下进行工作流的编排。
文章提供了一个通过Amazon API Gateway来实现跨账号工作流服务的解决方案,并且提供AWS 管理控制台和AWS CDK基础架构即代码(IaC)两种部署方式作为参考。
AWS Step Functions
AWS Step Functions可以与其他AWS服务进行集成,在工作流中直接调用其他服务的的API。例如:
- 调用AWS Lambda function
- 插入或者读取Amazon DynamoDB的数据
- 运行一个 Amazon Elastic Container Service (Amazon ECS)任务,并等待它运行结束。
- 在Amazon Simple Queue Service (Amazon SQS)发送消息
- 运行其他的AWS Step Functions工作流
- 向Amazon API Gateway发送请求
更多请参考 Call other AWS services
架构设计
以下架构图展示了上游账号A的工作流通过API Gateway,异步调用下游账号B的工作流,并传递有效业务信息。其通过资源策略来对API和Step Functions工作流进行访问权限控制,防止匿名访问。此架构展示的是两个AWS账号间的跨账号工作流服务,你也可以扩展为跨多个区域、多个账号的工作流服务。
工作流程
- 上游账号A的Step Functions状态机向下游账号B的API Gateway端点发起请求,请求中包含下游账号B的Step Functions状态机ARN及其他业务信息。
- 下游账号B的API Gateway判断工作流流向,异步调用所需下游账号B的Step Functions状态机并传递业务信息。
- 下游账号B的Step Functions状态机运行其工作流。
配置步骤
文章会先展示在AWS管理控制台进行无代码的部署,如果您需要参考CDK代码,请至文章的CDK部署模块。
上游账号A
在Step Functions中建立状态机,用于向托管在不同账号上的API发起请求。
创建Step Functions状态机所需 IAM Role
使用控制台或者CDK创建IAM Role,命名为SenderStateMachineRole,满足以下条件:
- Permissions
- Trust Relationships 选择AWS Step Functions
创建Step Functions状态机
上游账号A运行状态机工作流的任务,向下游账号B的API发送请求。
下游账号B
创建DynamoDB Table
创建Table命名为ReceiverTable,Partition Key为message。此Table会储存账号A状态机工作流向账号B发送的信息。
创建Step Functions状态机所需 IAM Role
创建Step Functions状态机
创建一个简单的状态机ReceiverStateMachine,可以执行DynamoDB的PutItem。该Task可以将API Gateway传来的参数存储进DynamoDB ReceiverTable。
创建API Gateway所需 IAM Role
使用控制台或者CDK创建IAM Role,命名为ReceiverApiRole,满足以下条件:
- Permissions
- Trust relationships
创建API Gateway RestAPI
- 创建RestAPI,命名为ReceiverApi。
- 编辑Resource Policy,让API仅接受来自账号A的状态机SenderStateMachine的API请求。
- 建立Resources为 /execution,再建立method为POST。
- 设置Integration Request,使API在被请求时,向Step Functions发送StartExecution的命令
- 设置Method Request Authorization为AWS IAM
- Deploy API,选择[New Stage] ,输入dev为Stage name。
运行工作流
执行上游账号A的工作流,输入以下参数。
运行结果
- 上游账号A状态机SenderStateMachine
- 下游账号B状态机ReceiverStateMachine
- DynamoDB插入数据
AWS CDK部署(参考代码)
上游账号A
下游账号B
总结
文章提供了部署基于API Gateway和Step Functions的跨账号工作流的详细步骤,并提供了CDK部署的参考代码。上游账号的Step Functions工作流通过API Gateway作为前端,调用下游账号的工作流。此方案可以进行扩展,通过一个上游工作流集中管理账号,管理多区域和多账号的工作流服务,避免了在不同账号进行重复工作,
更多的了解无服务器架构及Step Functions,请参考 AWS Step Functions