Pourquoi m'est-il impossible de supprimer un groupe de sécurité associé à mon réseau VPC ?

Résolution

Remarque : Si des erreurs surviennent lorsque vous exécutez des commandes de l'interface de la ligne de commande AWS (AWS CLI), consultez la section Résoudre des erreurs liées à l’AWS CLI. Vérifiez également que vous utilisez bien la version la plus récente de l’AWS CLI.

Vérifier que le groupe de sécurité n'est pas un groupe de sécurité par défaut

Chaque Amazon VPC dispose d’un groupe de sécurité par défaut. Si vous lancez une nouvelle instance Amazon Elastic Compute Cloud (Amazon EC2) sans spécifier de groupe de sécurité par défaut, AWS associe automatiquement un groupe de sécurité par défaut.

Lorsque vous essayez de supprimer un groupe de sécurité par défaut, l’erreur suivante s’affiche :

« error: Client.CannotDelete »

Vous ne pouvez pas supprimer un groupe de sécurité par défaut. Cependant, vous pouvez modifier les règles de votre groupe de sécurité par défaut.

S’assurer qu'aucune règle de groupe de sécurité ne fait référence à votre groupe de sécurité

Avant de supprimer votre groupe de sécurité, procédez comme suit pour supprimer sa règle de groupe de sécurité :

1. Ouvrez la console Amazon VPC.
2. Dans le volet de navigation, choisissez Groupes de sécurité.
3. Sélectionnez le groupe de sécurité que vous souhaitez mettre à jour.
4. Choisissez Actions, puis Modifier les règles entrantes ou Actions, puis Modifier les règles sortantes.
5. Choisissez Supprimer pour la règle que vous souhaitez supprimer.
6. Sélectionnez Enregistrer les règles.

Lorsque vous tentez de supprimer un groupe de sécurité auquel la règle d'un autre groupe de sécurité fait référence, l’erreur suivante s'affiche :

« An error occurred (DependencyViolation) when calling the DeleteSecurityGroup operation: resource sg-xyz has a dependent object » (Une erreur s'est produite (DependencyViolation) lors de l'appel de l'opération DeleteSecurityGroup : la ressource sg-xyz comporte un objet dépendant)

Supprimez toutes les règles des autres groupes de sécurité qui font référence au groupe de sécurité que vous souhaitez supprimer.

Si un groupe de sécurité d'un autre Amazon VPC avec une connexion d’appairage établie fait référence à votre groupe de sécurité, supprimez la règle ou la connexion.

Remarque : Utilisez l'API DescribeSecurityGroupReferences pour décrire l'autre terminaison d'une connexion d'appairage Amazon VPC qui fait référence au groupe de sécurité.

Dissocier votre groupe de sécurité associé à une ressource AWS

Si le groupe de sécurité que vous souhaitez supprimer est associé à une ressource AWS, dissociez-le. Vous ne pouvez pas supprimer un groupe de sécurité associé à une ressource AWS, telle qu'une instance Amazon EC2 ou un lien VPC Amazon API Gateway.

Important : Une fois que vous avez créé un lien VPC, vous ne pouvez pas modifier ses groupes de sécurité ou ses sous-réseaux.

Si l'erreur suivante s'affiche, cela signifie que votre groupe de sécurité est associé à une ressource AWS :

« Some security groups can't be deleted. The following security groups can't be deleted. These security groups are the default security groups, referenced by other security groups, or are associated with instances or network interfaces. » (Certains groupes de sécurité ne peuvent pas être supprimés. Les groupes de sécurité suivants ne peuvent pas être supprimés. Ces groupes sont des groupes de sécurité par défaut, référencés par d'autres groupes de sécurité, ou sont associés à des instances ou à des interfaces réseau.)

Pour déterminer quelles ressources utilisent un groupe de sécurité, consultez la section Comment puis-je trouver les ressources associées à un groupe de sécurité Amazon EC2 ?

Supprimer un groupe de sécurité associé à une interface réseau

Vous ne pouvez pas supprimer un groupe de sécurité associé à une interface réseau gérée par le demandeur.

Pour supprimer ou dissocier des interfaces réseau, consultez la section Supprimer une interface réseau.

Vous ne pouvez pas supprimer un groupe de sécurité associé à une interface réseau utilisée sur les points de terminaison Amazon VPC.

Lorsque vous tentez de supprimer un groupe de sécurité associé à une interface réseau utilisée par les points de terminaison Amazon VPC, le message d'erreur suivant s'affiche :

« An error occurred (DependencyViolation) when calling the DeleteSecurityGroup operation: resource sg-xyz has a dependent object » (Une erreur s'est produite (DependencyViolation) lors de l'appel de l'opération DeleteSecurityGroup : la ressource sg-xyz comporte un objet dépendant)

Pour supprimer ou remplacer le groupe de sécurité du point de terminaison de l'interface, procédez comme suit :

1. Ouvrez la console Amazon VPC.
2. Dans le volet de navigation, choisissez Points de terminaison.
3. Sélectionnez le point de terminaison de l'interface, puis choisissez Actions, puis Gérer les groupes de sécurité.
4. Sélectionnez ou effacez les groupes de sécurité, puis choisissez Enregistrer.

Exécutez la commande describe-network-interfaces de l'interface de la ligne de commande AWS pour rechercher les interfaces réseau associées à un groupe de sécurité :

aws ec2 describe-network-interfaces --filters Name=group-id,Values=example-group-id --region example-region --output json

Remarque : Remplacez example-group-id par l'ID de votre groupe de sécurité et example-region par votre région AWS.

Examinez la sortie de la commande. Si la sortie est vide, cela signifie que votre groupe de sécurité n'est associé à aucune ressource AWS.

Exemple de sortie de commande :

{
    "NetworkInterfaces": []
}

Résoudre les problèmes liés aux groupes de sécurité dans un réseau Amazon VPC Lattice Service

Lorsque vous supprimez un groupe de sécurité que vous avez associé à une association de VPC réseau Amazon VPC Lattice Service, le message d'erreur suivant s'affiche :

« errorCode » : « Client.DependencyViolation »

Remarque : Si vous ne parvenez pas à identifier le nom de l'événement d'erreur, recherchez un événement DeleteSecurityGroup dans vos journaux CloudTrail.

Pour résoudre cette erreur, procédez comme suit :

1. Ouvrez la console Amazon VPC.
2. Accédez au service VPC.
3. Dans le volet de navigation de gauche, choisissez Réseaux de services.
4. Sélectionnez un réseau de services dans la liste.
5. Choisissez l'onglet Association de VPC, puis recherchez toutes les associations de VPC dont l'ID d'association ressemble à snva-123b567891t1112a.
6. Choisissez l'ID d’association de VPC associé au groupe de sécurité.
7. Dans la section Groupes de sécurité, choisissez Modifier. Puis, supprimez le groupe de sécurité.

Configurer les autorisations pour exécuter DeleteSecurityGroup

Configurez les autorisations AWS Identity and Access Management (IAM) appropriées pour utiliser l'API DeleteSecurityGroup.

Important : L'API DeleteSecurityGroup échoue lorsque le groupe de sécurité que vous souhaitez supprimer est associé à une instance ou référencé dans un autre groupe de sécurité. Dans ces cas, l'opération échoue avec une erreur DependencyViolation.

Si vous tentez de supprimer un groupe de sécurité alors que vous ne disposez pas des autorisations appropriées, le message d'erreur suivant s'affiche :

« Failed to delete security groups. An unknown error happened. You are not authorized to perform "DeleteSecurityGroup" operation » (Impossible de supprimer les groupes de sécurité. Une erreur inconnue s’est produite. Vous n'êtes pas autorisé à effectuer l'opération « DeleteSecurityGroup »)

Pour résoudre l'erreur de l'opération DeleteSecurityGroup, procédez comme suit :

1. Ouvrez la console AWS CloudTrail.
2. Dans le volet de navigation, sélectionnez Historique des événements.
3. Dans la liste déroulante Attributs de recherche, choisissez Nom de l'événement.
4. Dans la zone de recherche, saisissez DeleteSecurityGroup pour afficher les appels d'API de l'opération.
   Remarque : Le message d'erreur « Vous n'êtes pas autorisé à effectuer cette opération » dans la liste Historique des événements indique que l'erreur est liée aux autorisations IAM.
5. Vérifiez que l'action DeleteSecurityGroup est ajoutée aux politiques relatives à l'utilisateur ou au rôle IAM.
   Pour plus d'informations, reportez-vous à Ajouter et supprimer des autorisations d'identité IAM.
6. Dans AWS Organizations, modifiez les politiques de contrôle des services (SCP) de votre organisation. Modifiez ensuite les autorisations de l'utilisateur ou du rôle IAM.
   Remarque : Si vous n'êtes pas le propriétaire principal du compte AWS, demandez à ce dernier de modifier les SCP. Pour plus d'informations sur les SCP, consultez la section Effets des SCP sur les autorisations.

Vérifier l’existence de groupes de sécurité dans les VPC partagés

Lorsque vous essayez de supprimer un groupe de sécurité qui se trouve dans un Amazon VPC partagé dont vous n'êtes pas le propriétaire, l’erreur suivante s'affiche :

« You are not authorized to perform DeleteSecurityGroup operation. A subnet in this vpc is shared but the provided object is not owned by you. » (Vous n'êtes pas autorisé à effectuer l'opération DeleteSecurityGroup. Un sous-réseau de ce vpc est partagé, mais l'objet fourni ne vous appartient pas.)

Pour résoudre l'erreur de l'opération DeleteSecurityGroup, procédez comme suit :

1. Ouvrez la console AWS CloudTrail.
2. Dans le volet de navigation, choisissez Historique des événements.
3. Dans la liste déroulante Attributs de recherche, choisissez Nom de l'événement.
4. Dans le champ de recherche, saisissez DeleteSecurityGroup pour afficher les appels d'API de l'opération.
5. Vérifiez que le groupe de sécurité n'appartient pas à votre compte. Si le groupe de sécurité appartient à un autre compte de votre organisation, demandez au propriétaire principal de supprimer le groupe de sécurité.

Informations connexes

Comment puis-je supprimer un VPC partagé avec un autre compte AWS ?

Gérer les associations pour un réseau de services VPC Lattice