Décider qui peut assumer le rôle

Vos jobs de build s'exécutent en dehors d'AWS, donc aucun rôle n'y est attaché et la chaîne d'identifiants ne trouve rien à récupérer. À la place, la plateforme de CI signe un jeton OIDC de courte durée indiquant le dépôt dans lequel le job a tourné, et STS échange ce jeton contre des identifiants temporaires.

La réussite de l'échange dépend de la stratégie d'approbation (trust policy) : la règle écrite à l'avance sur reports-deploy-role indiquant qui peut l'assumer. Quatre jobs de build présentent des jetons ce matin.

Ouvrez la console Trust policy et exigez uniquement l'émetteur, puis exécutez les quatre jobs. Trois reviennent avec des identifiants. Ajoutez la condition sur le dépôt et relancez-les.

Que vous apprend l'exécution avec l'émetteur seul ?