Perché non riesco a eliminare il mio endpoint VPC gestito dal richiedente?

Breve descrizione

Quando provi a eliminare un endpoint VPC di interfaccia, potresti ricevere il seguente errore:

"vpce-0399e6e9fd2f4e430: Operation is not allowed for requester-managed VPC endpoints for the service com.amazonaws.vpce.region.vpce-svc-04c257ad126576358."

Ricevi questo errore quando l'endpoint che desideri eliminare è un endpoint VPC gestito dal richiedente. I servizi gestiti da AWS come Amazon Aurora serverless creano endpoint gestiti dal richiedente. Per eliminare questo tipo di endpoint, devi prima identificare il servizio gestito da AWS che ha creato l'endpoint ed eliminare la risorsa. Dopodiché il servizio gestito da AWS che originariamente ha creato l'endpoint lo elimina automaticamente.

Risoluzione

Nota: se ricevi errori quando esegui i comandi dell'Interfaccia della linea di comando AWS (AWS CLI), consulta Risoluzione degli errori per AWS CLI. Inoltre, assicurati di utilizzare la versione più recente di AWS CLI.

Identifica il servizio AWS che ha creato endpoint negli ultimi 90 giorni

Per determinare il servizio che ha creato l'endpoint, utilizza AWS CloudTrail. Assicurati di impostare la vista della console CloudTrail sugli ultimi 90 giorni di attività API registrata (eventi di gestione).

Per visualizzare eventi in CloudTrail, completa i seguenti passaggi:

1. Apri la console CloudTrail.
2. Nel pannello di navigazione scegli Cronologia degli eventi.
3. Seleziona Nome risorsa. Quindi, in corrispondenza del filtro del nome della risorsa, inserisci l'ID dell'endpoint VPC, ad esempio vpce-######.
4. Nella chiamata API CreateVpcEndpoint, controlla il valore che compare per Username. Nel caso degli endpoint creati da Aurora serverless, per username compare RDSAuroraServeless. Nel caso degli endpoint creati dal Server proxy per Amazon Relational Database Service (Amazon RDS), per username compare RDSSlrAssumptionSession.
5. Per identificare gli endpoint creati da AWS Network Firewall, visualizza il record dell'evento per la chiamata API CreateVpcEndpoint. Quindi controlla i tag con le chiavi Firewall e AWSNetworkFirewallManaged.
   Esempio:

   {
       "Tag": [
           {
               "Value": "arn:aws:network-firewall:region:account number:firewall/firewall name",
               "tag": 1,
               "Key": "Firewall"
           },
           {
               "Value": true,
               "tag": 2,
               "Key": "AWSNetworkFirewallManaged"
           }
       ]
   }

Identifica il servizio AWS che ha creato gli endpoint più di 90 giorni fa

Verifica se l'endpoint è stato creato da Network Firewall

Completa i seguenti passaggi:

1. Apri la console VPC.
2. Scegli Endpoint.
3. Seleziona l'endpoint, quindi scegli la scheda Tag.
4. Se in Tag compaiono i seguenti valori, l'endpoint è stato creato da Network Firewall:
   Per Key compare AWSNetworkFirewallManaged e per Value compare True.
   Per Key compare Firewall e per Value compare l'ARN di Network Firewall arn:aws:network-firewall:region:account number:firewall/firewall name.

(Facoltativo) Per verificare se Network Firewall ha l'endpoint, completa i seguenti passaggi:

1. Apri la console VPC.
2. Nel pannello di navigazione, in Network Firewall, scegli Firewall.
3. Scegli Dettagli del firewall.
4. Rivedi i dettagli di configurazione del firewall.

Verifica se l'endpoint è stato creato da Aurora serverless

Esegui una ricerca del nome per gli endpoint dei database Aurora serverless esistenti. Se il record del nome canonico (CNAME) restituito corrisponde al nome DNS dell'endpoint VPC di interfaccia, l'endpoint è stato creato da Aurora serverless.

Ad esempio, hai un endpoint VPC di interfaccia con ID vpce-0013b47d434ae7786 che non riesci a eliminare. Per verificare l'endpoint è stato creato da se Aurora serverless, completa i seguenti passaggi:

1. Esegui una ricerca del nome per l'endpoint di Aurora serverless:

   dig test1.proxy-chnis5vssnuj.us-east-1.rds.amazonaws.com +short

   Esempio di output:

   vpce-0ce9fdcdd4aa4097e-1hbywnw6.vpce-svc-0b2f119acb23c050e.us-east-1.vpce.amazonaws.com.
   172.31.4.218
   172.31.21.82

2. Controlla il valore CNAME del record per vedere se corrisponde al nome DNS dell'endpoint che desideri eliminare.

(Facoltativo) Per verificare il nome DNS dell'endpoint, completa i seguenti passaggi:

1. Apri la console VPC.
2. Scegli Endpoint.
3. Scegli la scheda Dettagli, quindi esamina i nomi DNS elencati.

Verifica se l'endpoint è stato creato dal Server proxy per Amazon RDS

Esegui una ricerca del nome per gli endpoint del Server proxy per Amazon RDS. Quindi completa la procedura indicata precedentemente per Aurora serverless. Se sono presenti più endpoint del Server proxy per Amazon RDS, ripeti i passaggi per ciascun endpoint.

Verifica se l'endpoint è stato creato da Amazon Redshift

Completa i seguenti passaggi:

1. Apri la console Amazon Redshift.
2. Nel pannello di navigazione, scegli Configurazioni.
3. Controlla se sono presenti endpoint configurati in Endpoint VPC gestiti da Redshift.

Elimina la risorsa

Dopo aver identificato il servizio che ha creato l'endpoint, elimina la risorsa. Dopodiché il servizio elimina automaticamente l'endpoint.

Per gli endpoint creati da Network Firewall, elimina il firewall di rete.

Per gli endpoint creati da Aurora serverless, elimina il cluster di database Aurora serverless.

Per gli endpoint creati dal Server proxy per Amazon RDS, elimina il server proxy per RDS.

Per gli endpoint VPC gestiti da Amazon Redshift, utilizza la console Amazon Redshift o il comando AWS CLI delete-endpoint-access.