[aws-nuke]特定のタグのついたリソースは削除対象外にする

#AWS

#aws-nuke

佐藤雅樹

2022.07.01

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

「aws-nukeで個別リソースの除外は数が増えると大変だからもっと簡単にしたい。具体的には、特定のタグのついたリソースは削除対象外にしたい」

aws-nukeはAWSリソースの一括削除に便利なツールです。

検証用AWSアカウントに対して使用することが多いと思います。検証用AWSアカウントであっても削除したくないリソースはあるかと思います。(ログイン用IAM関連のリソースやコスト通知のアラーム等)

特定タグが付いたものを除外できたら便利そうと思い調べてみました。

結論: 全AWSサービスに対して特定タグを一括除外は不可、AWSサービスごとにフィルターでタグを指定する必要がある

特定タグが付いたものをaws-nukeの対象から除外する

aws-nukeにはフィルターを使用して、特定のリソースを対象から除外する機能があります。

例えば、sample-roleという名前のIAMロールが存在するとします。

このIAMロールを削除対象から外したい場合は、aws-nukeのconfigを以下のように設定します。

regions:
  - global

account-blocklist:
  - "000000000000" # dummy

accounts:
  "<アカウントID>":
    filters:
      IAMRole:
        - type: exact
          value: "sample-role"

dry-runの結果、filtered by configになっているので削除対象から除外されています。

$ aws-nuke -c nuke-config.yml --profile <プロファイル> # dry-run実行
global - IAMRole - sample-role - [Name: "sample-role", Path: "/", tag:clean-up: "false"] - filtered by config

ただ、リソース名を一つ一つ指定していくのはconfigファイルが長くなって辛いです。

filterではタグを指定することもできます。 IAMロールsample-roleにはclean-up: falseというタグがついています。

このタグをフィルターに指定してみます。

regions:
  - global

account-blocklist:
  - "000000000000" # dummy

accounts:
  "<アカウントID>":
    filters:
      IAMRole:
        - type: exact
          property: tag:clean-up
          value: "false"

再度dry-runしても、先程と出力が変わらずに除外できていることがわかりました。