Elastic BeanstalkのS3バケットを削除する

Elastic Beanstalk用に作成されていたS3バケットを削除するのに少し手間取ったので、備忘録を残します。

はじめに
Elastic BeanstalkのS3バケットを削除する
- 原因: バケットポリシーで削除が拒否されている
- 解決策: バケットポリシーを削除する
おわりに
関連記事
参考

はじめに

おはよう。@bioerrorlogです。

先日、Elastic BeanstalkのS3バケットが削除できないという状況に遭遇しました。 AdministratorAccess権限を持ったIAMユーザーでログインしているのに、"Access Denied"でS3バケットが削除できなかったのです(Fig. 1)。

f:id:BioErrorLog:20200307142442p:plain — Fig. 1 S3バケットを削除しようとするとAccess Deniedとなる

この状況に対する解決策を書きます。

Elastic BeanstalkのS3バケットを削除する

原因: バケットポリシーで削除が拒否されている

バケットポリシーを確認すると、Delete操作が拒否されていました。

バケットポリシーは、S3バケットのコンソールからアクセス権限 > バケットポリシーで確認することができます(Fig. 2)。

f:id:BioErrorLog:20200307144855p:plain — Fig. 2 バケットポリシーの確認

以下、バケットポリシーの全文です。
("XXX" はアカウントidなどのマスクです)

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "eb-XXX",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::XXX:role/aws-elasticbeanstalk-ec2-role"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::elasticbeanstalk-us-east-2-XXX/resources/environments/logs/*"
        },
        {
            "Sid": "eb-XXX",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::XXX:role/aws-elasticbeanstalk-ec2-role"
            },
            "Action": [
                "s3:ListBucket",
                "s3:ListBucketVersions",
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-us-east-2-XXX",
                "arn:aws:s3:::elasticbeanstalk-us-east-2-XXX/resources/environments/*"
            ]
        },
        {
            "Sid": "eb-XXX",
            "Effect": "Deny",
            "Principal": {
                "AWS": "*"
            },
            "Action": "s3:DeleteBucket",
            "Resource": "arn:aws:s3:::elasticbeanstalk-us-east-2-XXX"
        }
    ]
}

今回の件で重要なのは次の部分です。

{
    "Sid": "eb-XXX",
    "Effect": "Deny",
    "Principal": {
        "AWS": "*"
    },
    "Action": "s3:DeleteBucket",
    "Resource": "arn:aws:s3:::elasticbeanstalk-us-east-2-XXX"
}

いかなる者であっても："Principal": "AWS": "*"
Elastic BeanstalkのS3バケットを："Resource": "arn:aws:s3:::elasticbeanstalk-us-east-2-XXX"
削除することは："Action": "s3:DeleteBucket"
許されない："Effect": "Deny"
ということです。

このポリシーこそ、バケットの削除を拒んでいた原因です。