Perché non riesco a eliminare un gruppo di sicurezza collegato al mio Amazon VPC?

Risoluzione

Nota: se ricevi errori quando esegui i comandi dell'Interfaccia della linea di comando AWS (AWS CLI), consulta Risoluzione degli errori per AWS CLI. Inoltre, assicurati di utilizzare la versione più recente di AWS CLI.

Verifica che il gruppo di sicurezza non sia un gruppo di sicurezza predefinito

Ogni Amazon VPC ha un gruppo di sicurezza predefinito. Se avvii una nuova istanza Amazon Elastic Compute Cloud (Amazon EC2) e non specifichi un gruppo di sicurezza predefinito, AWS associa automaticamente un gruppo di sicurezza predefinito.

Se tenti di eliminare un gruppo di sicurezza predefinito, ricevi il seguente errore:

"error: Client.CannotDelete"

Non puoi eliminare un gruppo di sicurezza predefinito. Tuttavia, puoi modificarne le regole.

Assicurati che una regola del gruppo di sicurezza non faccia riferimento al gruppo di sicurezza

Prima di eliminare il gruppo di sicurezza, completa i seguenti passaggi per rimuovere la relativa regola:

1. Apri la console Amazon VPC.
2. Nel riquadro di navigazione, scegli Gruppi di sicurezza.
3. Seleziona il gruppo di sicurezza che desideri aggiornare.
4. Scegli Azioni, Modifica le regole in entrata o Azioni, Modifica le regole in uscita.
5. Scegli Elimina per la regola che desideri eliminare.
6. Scegli Salva regole.

Se tenti di eliminare un gruppo di sicurezza a cui fa riferimento la regola di un altro gruppo di sicurezza, ricevi il seguente errore:

"An error occurred (DependencyViolation) when calling the DeleteSecurityGroup operation: resource sg-xyz has a dependent object"

Rimuovi tutte le regole in altri gruppi di sicurezza che fanno riferimento al gruppo di sicurezza che desideri eliminare.

Se un gruppo di sicurezza in un altro Amazon VPC con una connessione peering stabilita fa riferimento al gruppo di sicurezza che desideri eliminare, elimina la regola o la connessione.

Nota: utilizza l'API DescribeSecurityGroupReferences per descrivere l'altra estremità di una connessione peering Amazon VPC che fa riferimento al gruppo di sicurezza.

Dissocia il gruppo di sicurezza associato a una risorsa AWS

Se il gruppo di sicurezza che desideri eliminare è associato a una risorsa AWS, dissocialo. Non puoi eliminare un gruppo di sicurezza associato a una risorsa AWS, come ad esempio un'istanza Amazon EC2 o il collegamento VPC di un Gateway Amazon API.

Importante: dopo aver creato un collegamento VPC, non puoi modificarne i gruppi di sicurezza o le sottoreti.

Se ricevi il seguente errore, il gruppo di sicurezza è associato a una risorsa AWS:

"Some security groups can't be deleted. The following security groups can't be deleted. These security groups are the default security groups, referenced by other security groups, or are associated with instances or network interfaces." 

Per determinare le risorse che utilizzano un gruppo di sicurezza, consulta Come posso trovare le risorse associate a un gruppo di sicurezza Amazon EC2?

Elimina un gruppo di sicurezza associato a un'interfaccia di rete

Non puoi eliminare un gruppo di sicurezza associato a un'interfaccia di rete gestita dal richiedente.

Per eliminare o scollegare interfacce di rete, consulta Eliminazione di un'interfaccia di rete.

Non puoi eliminare un gruppo di sicurezza associato a un'interfaccia di rete utilizzata da endpoint Amazon VPC.

Quando tenti di eliminare un gruppo di sicurezza associato a un'interfaccia di rete utilizzata da endpoint Amazon VPC, ricevi il seguente errore:

"An error occurred (DependencyViolation) when calling the DeleteSecurityGroup operation: resource sg-xyz has a dependent object"

Per rimuovere o sostituire il gruppo di sicurezza dall'endpoint dell'interfaccia, completa questi passaggi:

1. Apri la console Amazon VPC.
2. Nel riquadro di navigazione, scegli Endpoint.
3. Seleziona l'endpoint dell'interfaccia, quindi scegli Azioni, Gestisci i gruppi di sicurezza.
4. Seleziona o deseleziona i gruppi di sicurezza, quindi scegli Salva.

Esegui il comando AWS CLI describe-network-interfaces per individuare le interfacce di rete associate a un gruppo di sicurezza:

aws ec2 describe-network-interfaces --filters Name=group-id,Values=example-group-id --region example-region --output json

Nota: sostituisci example-group-id con l'ID del tuo gruppo di sicurezza e example-region con la tua Regione AWS.

Esamina l'output del comando. Se l'output è vuoto, il gruppo di sicurezza non è associato ad alcuna risorsa AWS.

Esempio di output del comando:

{
    "NetworkInterfaces": []
}

Risolvi i problemi relativi ai gruppi di sicurezza in una rete di servizi Amazon VPC Lattice

Quando elimini un gruppo di sicurezza collegato a un'associazione VPC della rete di servizi Amazon VPC Lattice, ricevi il seguente errore:

"errorCode": "Client.DependencyViolation"

Nota: se non riesci a identificare il nome dell'evento di errore, verifica la presenza di un evento DeleteSecurityGroup nei log di CloudTrail.

Per risolvere l'errore, completa i seguenti passaggi:

1. Apri la console Amazon VPC.
2. Passa al servizio VPC.
3. Nel pannello di navigazione a sinistra, scegli Reti di servizi.
4. Seleziona una Rete di servizi dall'elenco.
5. Scegli la scheda Associazione VPC, quindi verifica la presenza di eventuali associazioni VPC con un ID di associazione simile a snva-123b567891t1112a.
6. Scegli l'ID dell'associazione VPC associata al gruppo di sicurezza.
7. Nella sezione Gruppi di sicurezza, scegli Modifica. Quindi, elimina il gruppo di sicurezza.

Configura le autorizzazioni per eseguire DeleteSecurityGroup

Configura le autorizzazioni AWS Identity and Access Management (AWS IAM) appropriate per utilizzare l'API DeleteSecurityGroup.

**Importante:**L'API DeleteSecurityGroup ha esito negativo quando il gruppo di sicurezza che si desidera eliminare è associato a un'istanza o viene referenziato in un altro gruppo di sicurezza. In questi casi, l'operazione non riesce e viene generato un errore DependencyViolation.

Se tenti di eliminare un gruppo di sicurezza quando non disponi delle autorizzazioni corrette, ricevi il seguente errore:

"Failed to delete security groups. An unknown error happened. You are not authorized to perform "DeleteSecurityGroup" operation"

Per risolvere l'errore di operazione DeleteSecurityGroup, completa questi passaggi:

1. Apri la console AWS CloudTrail.
2. Nel pannello di navigazione, scegli Cronologia degli eventi.
3. Nell'elenco a discesa degli Attributi di ricerca, scegli Nome evento.
4. Nella casella di ricerca, inserisci DeleteSecurityGroup per visualizzare le chiamate API dell'operazione.
   Nota: il messaggio di errore "You are not authorized to perform this operation" nell'elenco Cronologia degli eventi indica che l'errore è correlato alle autorizzazioni IAM.
5. Verifica che l'azione DeleteSecurityGroup sia stata aggiunta alle policy per l'utente o il ruolo IAM.
   Per ulteriori informazioni, consulta la sezione Adding and removing IAM identity permissions.
6. In AWS Organizations, modifica le policy di controllo dei servizi (SCP) della tua organizzazione. Quindi modifica le autorizzazioni per l'utente o il ruolo IAM.
   Nota: se non sei il titolare principale dell'account, chiedi al titolare principale di modificare le SCP. Per ulteriori informazioni sulle SCP, consulta Effetti delle SCP sulle autorizzazioni.

Verifica la presenza di gruppi di sicurezza nei VPC condivisi

Quando tenti di eliminare un gruppo di sicurezza che si trova in un Amazon VPC condiviso di cui non sei proprietario, ricevi il seguente errore:

"You are not authorized to perform DeleteSecurityGroup operation. A subnet in this vpc is shared but the provided object is not owned by you."

Per risolvere l'errore di operazione DeleteSecurityGroup, completa questi passaggi:

1. Apri la console AWS CloudTrail.
2. Nel pannello di navigazione, scegli Cronologia degli eventi.
3. Nell'elenco a discesa degli Attributi di ricerca, scegli Nome evento.
4. Nella casella di ricerca, inserisci DeleteSecurityGroup per visualizzare le chiamate API dell'operazione.
5. Verifica che il tuo account non sia proprietario del gruppo di sicurezza. Se il gruppo di sicurezza è di proprietà di un altro account dell'organizzazione, chiedi al proprietario principale di eliminare il gruppo di sicurezza.

Informazioni correlate

Come posso eliminare il mio VPC condiviso con un altro account AWS?

Gestisci le associazioni per una rete di servizi VPC Lattice