AWS CLI SecretsManager --force-delete-without-recovery 执行异常问题

核心原因 #

• 首次删除操作执行后，目标密钥已进入计划删除状态，此时通过密钥名称（而非完整ARN）调用删除接口时，AWS Secrets Manager会隐式创建新的同名空密钥并将其标记删除，因此每次调用返回的ARN随机后缀、删除日期都会变化，本质是反复删除新生成的临时同名密钥，并未操作到最初的目标密钥。
• 若使用的AWS CLI版本低于v1.18.100，--force-delete-without-recovery参数会被接口忽略，默认执行7-30天的计划删除逻辑，因此控制台会保留待删除条目和取消删除的选项。
• 若该密钥是RDS等其他AWS服务的托管关联密钥，对应服务会自动重建同名密钥，导致删除操作看似无效。

解决步骤 #

1. 执行如下命令列出所有包含待删除状态的密钥，找到最初需要删除的目标密钥的完整ARN（首次删除返回的ARN后缀为Cf10KE）：

aws secretsmanager list-secrets --include-planned-deletion --region us-west-2 --profile=development

2. 针对目标完整ARN执行强制删除命令：

aws secretsmanager delete-secret --secret-id <替换为目标完整ARN> --force-delete-without-recovery --region us-west-2 --profile=development

3. 若删除后仍出现同名密钥，先检查对应RDS等服务是否配置了关联该密钥，解除关联后再执行删除操作。

内容的提问来源于stack exchange，提问作者d8aninja