本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
AWS Step Functions 中的安全性
AWS 十分重视云安全性。作为 AWS 客户，您将从专为满足大多数安全敏感型企业的要求而打造的数据中心和网络架构中受益。
安全性是 AWS 和您的共同责任。责任共担模式
-
云的安全性 – AWS负责保护在AWS云中运行AWS服务的基础架构。AWS还向您提供可安全使用的服务。作为 AWS 合规性计划
的一部分，第三方审核人员将定期测试和验证安全性的有效性。要了解适用于 AWS Step Functions 的合规性计划，请参阅合规性计划范围内的 AWS 服务 。 -
云中的安全性：您的责任由您使用的 AWS 服务决定。您还需要对其他因素负责，包括您的数据的敏感性、您公司的要求以及适用的法律法规。
此文档有助于了解如何在使用 Step Functions 时应用责任共担模式。以下主题说明如何配置 Step Functions 来满足安全性和合规性目标。您还会了解如何使用其它 AWS 服务来协助您监控和保护 Step Functions 资源。
Step Functions 使用 IAM 控制对其他 AWS 服务和资源的访问权限。有关 IAM 工作原理的概述，请参阅《IAM 用户指南》https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_access-management.html中的访问管理概述。有关安全凭证的概述，请参阅 中的 AWS 安全凭证Amazon Web Services 一般参考。
Step Functions 的合规性验证
作为多个 AWS Step Functions 合规性计划的一部分，第三方审计员将评估 AWS 的安全性和合规性。其中包括 SOC、PCI、FedRAMP、HIPAA 及其他。
有关特定合规性计划范围内的 AWS 服务列表，请参阅合规性计划范围内的 AWS 服务
您可以使用 AWS Artifact 下载第三方审计报告。有关更多信息，请参阅在 AWS Artifact 中下载报告、。
您使用 Step Functions 的合规性责任取决于您数据的敏感度、贵公司的合规性目标以及适用的法律法规。AWS 提供以下资源来帮助满足合规性：
-
安全性与合规性快速入门指南
- 这些部署指南讨论了架构注意事项，并提供了在AWS上部署基于安全性和合规性的基准环境的步骤。 -
Amazon Web Services 上的 HIPAA 安全性和合规性架构设计– 此白皮书介绍了公司如何使用 AWS 创建符合 HIPAA 标准的应用程序。
-
AWS 合规性资源
– 此业务手册和指南集合可能适用于您的行业和位置。 -
AWS Config 开发人员指南中的使用规则评估资源 – 此 AWS Config 服务评估您的资源配置对内部实践、行业指南和法规的遵循情况。
-
AWS Security Hub – 此 AWS 服务提供了 AWS 中安全状态的全面视图，可帮助您检查是否符合安全行业标准和最佳实操。
Step Functions 中的故障恢复能力
AWS全球基础架构围绕AWS区域和可用区构建。AWS区域提供多个在物理上独立且隔离的可用区，这些可用区通过延迟低、吞吐量高且冗余性高的网络连接在一起。利用可用区，您可以设计和操作在可用区之间无中断地自动实现失效转移的应用程序和数据库。与传统的单个或多个数据中心基础设施相比，可用区具有更高的可用性、容错性和可扩展性。
有关 AWS 区域和可用区的更多信息，请参阅 AWS 全球基础架构
除了 AWS 全球基础设施之外，Step Functions 还提供了多种特征，以帮助支持您的数据弹性和备份需求。
Step Functions 中的基础设施安全性
作为一项托管式服务，AWS Step Functions 受 AWS 全球网络安全保护。有关 AWS 安全服务以及 AWS 如何保护基础设施的信息，请参阅 AWS 云安全
您可以使用 AWS 发布的 API 调用通过网络访问 Step Functions。客户端必须支持以下内容：
-
传输层安全性协议 (TLS) 我们要求使用 TLS 1.2，建议使用 TLS 1.3。
-
具有完全向前保密 (PFS) 的密码套件，例如 DHE（临时 Diffie-Hellman）或 ECDHE（临时椭圆曲线 Diffie-Hellman）。大多数现代系统（如 Java 7 及更高版本）都支持这些模式。
此外，必须使用访问密钥 ID 和与 IAM 主体关联的秘密访问密钥来对请求进行签名。或者，您可以使用 AWS Security Token Service（AWS STS）生成临时安全凭证来对请求进行签名。
您可以从任何网络位置调用 AWS API 操作，但 Step Functions 不支持基于资源的访问策略，其中可以包含基于源 IP 地址的限制。您还可以使用 Step Functions 策略来控制来自特定 Amazon Virtual Private Cloud (Amazon VPC) 端点或特定 VPC 的访问。事实上，这隔离了在 AWS 网络中仅从特定 VPC 到给定 Step Functions 资源的网络访问。
