Décider qui peut assumer le rôle

Vos tâches de build s'exécutent à l'extérieur d'AWS, donc aucun rôle n'y est rattaché et la chaîne d'identification ne trouve rien à récupérer. À la place, la plateforme CI signe un jeton OIDC de courte durée qui nomme le dépôt où la tâche a tourné, et STS échange ce jeton contre des justificatifs temporaires.

La réussite de l'échange dépend de la stratégie d'approbation (trust policy) : la règle écrite au préalable sur reports-deploy-role qui précise qui peut l'assumer. Quatre tâches de build présentent des jetons ce matin.

Ouvrez la console Trust policy et exigez uniquement l'émetteur, puis lancez les quatre tâches. Trois reviennent avec des justificatifs. Ajoutez la condition sur le dépôt et relancez-les.

Qu'est-ce que l'exécution avec l'émetteur seulement vous indique ?