Pourquoi ne puis-je pas supprimer le point de terminaison de VPC géré par le demandeur ?

Brève description

Lorsque vous essayez de supprimer un point de terminaison de VPC d'interface, l'erreur suivante peut s'afficher :

"vpce-0399e6e9fd2f4e430: Operation is not allowed for requester-managed VPC endpoints for the service com.amazonaws.vpce.region.vpce-svc-04c257ad126576358."

Cette erreur s'affiche lorsque le point de terminaison que vous souhaitez supprimer est un point de terminaison de VPC géré par le demandeur. Les services gérés AWS tels qu'Amazon Aurora sans serveur créent des points de terminaison gérés par le demandeur. Pour supprimer ce type de point de terminaison, vous devez d'abord identifier le service géré AWS qui a créé le point de terminaison et supprimer la ressource. Ensuite, le service géré AWS qui a initialement créé le point de terminaison supprime automatiquement le point de terminaison.

Résolution

Remarque : Si des erreurs surviennent lorsque vous exécutez des commandes de l'interface de la ligne de commande AWS (AWS CLI), consultez la section Résoudre des erreurs liées à l’AWS CLI. Vérifiez également que vous utilisez bien la version la plus récente de l'AWS CLI.

Identifier le service AWS qui a créé des points de terminaison au cours des 90 derniers jours

Pour déterminer le service qui a créé le point de terminaison, utilisez AWS CloudTrail. Assurez-vous de définir l'affichage de la console CloudTrail sur les 90 derniers jours d'activité API enregistrée (événements de gestion).

Pour afficher les événements CloudTrail, procédez comme suit :

1. Ouvrez la console CloudTrail.
2. Dans le volet de navigation, choisissez Historique des événements.
3. Sélectionnez le nom de votre ressource. Puis, pour le filtre de nom de ressource, saisissez l'ID du point de terminaison de VPC, par exemple vpce-######.
4. Dans l'appel d'API CreateVpcEndpoint, vérifiez la valeur de Nom d'utilisateur. Pour les points de terminaison créés par Aurora sans serveur, le nom d'utilisateur est RDSauroraServeless. Pour les points de terminaison créés par le proxy Amazon Relational Database Service (Amazon RDS), le nom d'utilisateur est RDSSLRassumptionSession.
5. Pour identifier les points de terminaison créés par AWS Network Firewall, consultez l'enregistrement de l'événement pour l'appel d'API CreateVpcEndpoint. Puis, recherchez les identifications contenant les clés Pare-feu et AWSNetworkFirewallManaged.
   Exemple :

   {
       "Tag": [
           {
               "Value": "arn:aws:network-firewall:region:account number:firewall/firewall name",
               "tag": 1,
               "Key": "Firewall"
           },
           {
               "Value": true,
               "tag": 2,
               "Key": "AWSNetworkFirewallManaged"
           }
       ]
   }

Identifier le service AWS qui a créé des points de terminaison il y a plus de 90 jours

Vérifier si le pare-feu réseau a créé le point de terminaison

Procédez comme suit :

1. Ouvrez la console VPC.
2. Sélectionnez Points de terminaison.
3. Sélectionnez le point de terminaison, puis choisissez l'onglet Identifications.
4. Si les valeurs suivantes apparaissent dans Identifications, cela signifie que Network Firewall a créé le point de terminaison :
   La clé est AWSNetworkFirewallManaged et la valeur est True.
   La clé est Pare-feu et la valeur est l'ARN de votre pare-feu réseau arn:aws:network-firewall:region:account number:firewall/firewall name.

(Facultatif) Pour vérifier que le pare-feu réseau utilise le point de terminaison, procédez comme suit :

1. Ouvrez la console VPC.
2. Dans le volet de navigation, sous Pare-feu réseau, choisissez Pare-feux.
3. Sélectionnez Détails du pare-feu.
4. Vérifiez les détails de configuration du pare-feu.

Vérifier si Aurora sans serveur a créé le point de terminaison

Effectuez une recherche de nom pour les points de terminaison des bases de données Aurora sans serveur existantes. Si l'enregistrement de nom canonique (CNAME) renvoyé correspond au nom DNS du point de terminaison de l'interface de VPC, Aurora sans serveur a créé le point de terminaison.

Par exemple, vous avez un point de terminaison de VPC d'interface avec l'ID vpce-0013b47d434ae7786 que vous ne pouvez pas supprimer. Pour vérifier si Aurora sans serveur a créé le point de terminaison, procédez comme suit :

1. Effectuez une recherche de nom sur le point de terminaison Aurora sans serveur :

   dig test1.proxy-chnis5vssnuj.us-east-1.rds.amazonaws.com +short

   Exemple de sortie :

   vpce-0ce9fdcdd4aa4097e-1hbywnw6.vpce-svc-0b2f119acb23c050e.us-east-1.vpce.amazonaws.com.
   172.31.4.218
   172.31.21.82

2. Vérifiez la valeur de CNAME de l'enregistrement pour voir si elle correspond au nom DNS du point de terminaison que vous souhaitez supprimer.

(Facultatif) Pour vérifier le nom DNS du point de terminaison, procédez comme suit :

1. Ouvrez la console VPC.
2. Sélectionnez Points de terminaison.
3. Choisissez l'onglet Détails, puis examinez les noms DNS répertoriés.

Vérifier si le proxy Amazon RDS a créé le point de terminaison

Effectuez une recherche de nom pour les points de terminaison du proxy Amazon RDS. Puis, effectuez les étapes précédentes fournies pour Aurora sans serveur. S'il existe plusieurs points de terminaison de proxy Amazon RDS, répétez les étapes pour chaque point de terminaison.

Vérifier si Amazon Redshift a créé le point de terminaison

Procédez comme suit :

1. Ouvrez la console Amazon Redshift.
2. Dans le volet de navigation, choisissez Configurations.
3. Vérifiez si des points de terminaison sont configurés sous Points de terminaison de VPC gérés par Redshift.

Supprimer la ressource

Après avoir identifié le service qui a créé le point de terminaison, supprimez la ressource. Le service supprime ensuite automatiquement le point de terminaison.

Pour les points de terminaison créés par Network Firewall, supprimez le pare-feu réseau.

Pour les points de terminaison créés par Aurora sans serveur, supprimez le cluster de base de données Aurora sans serveur.

Pour les points de terminaison créés par le proxy Amazon RDS, supprimez le proxy RDS.

Pour les points de terminaison de VPC gérés par Amazon Redshift, utilisez la console Amazon Redshift ou la commande delete-endpoint-access de l'AWS CLI.