Decide quién puede asumir el rol

Tus jobs de build se ejecutan fuera de AWS, así que no hay ningún rol adjunto y la cadena de credenciales no encuentra nada que recoger. En su lugar, la plataforma de CI firma un token OIDC de corta duración que nombra el repositorio donde se ejecutó el job, y STS canjea ese token por credenciales temporales.

Si el canje tiene éxito lo decide la política de confianza: la regla escrita de antemano en reports-deploy-role que dice quién puede asumirlo. Cuatro jobs de build están presentando tokens esta mañana.

Abre la consola de Trust policy y exige solo el emisor; luego ejecuta los cuatro jobs. Tres vuelven con credenciales. Añade la condición de repositorio y ejecútalos de nuevo.

¿Qué te dice la ejecución con solo el emisor?