サービスリンクロール削除時のエラーメッセージを確認したい

AWSテクニカルサポートノート

#AWS IAM

#AWS CloudTrail

Akino

2024.09.25

困っていた内容

サービスリンクロール削除失敗時のエラーメッセージを CloudTrail で確認したいのですが、DeleteServiceLinkedRole イベントにはエラーコードやエラーメッセージが表示されていません。
確認する方法はありますか？

※ サービスリンクロールとサービスロールの差異や見分け方については、以下の記事をご確認ください。

どう対応すればいいの?

DeleteServiceLinkedRole イベントレコードの responseElements に記録されている deletionTaskId に対し、get-service-linked-role-deletion-status コマンドを実行することで確認できます。

以下は、サービスロール AWSServiceRoleForAmazonSSM を削除した際の DeleteServiceLinkedRole イベントの例です。
ハイライト部分が responseElements となってます。

DeleteServiceLinkedRoleイベント例

{
    "eventVersion": "1.10",
    "userIdentity": {
        .....
    },
    "eventTime": "2024-09-24T00:08:07Z",
    "eventSource": "iam.amazonaws.com",
    "eventName": "DeleteServiceLinkedRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "1.1.1.1",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.0.0 Safari/537.36",
    "requestParameters": {
        "roleName": "AWSServiceRoleForAmazonSSM"
    },
>    "responseElements": {
>         "deletionTaskId": "task/aws-service-role/ssm.amazonaws.com/AWSServiceRoleForAmazonSSM/XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXX"
>    },
    "requestID": "XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX",
    "eventID": "XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "XXXXXXXXXXXX",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "iam.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true"
}
    },

このタスクの詳細を確認するためには、以下のように get-service-linked-role-deletion-status コマンドを実行します。

$aws iam get-service-linked-role-deletion-status --deletion-task-id task/aws-service-role/ssm.amazonaws.com/AWSServiceRoleForAmazonSSM/XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX --region us-east-1
{
    "Status": "FAILED",
    "Reason": {
        "Reason": "Role is currently in use.",
        "RoleUsageList": [
            {
                "Region": "us-west-2",
                "Resources": [
                    "At least one association found in account XXXXXXXXXXXX"
                ]
            }
        ]
    }
}