Decidi chi può assumere il ruolo

I tuoi job di build girano fuori da AWS, quindi nessun ruolo è associato e la catena delle credenziali non trova nulla da utilizzare. Al loro posto, la piattaforma CI firma un token OIDC a breve durata che indica il repository in cui è stato eseguito il job, e STS scambia quel token con credenziali temporanee.

Se lo scambio va a buon fine lo decide la trust policy: la regola scritta in anticipo su reports-deploy-role che stabilisce chi può assumerlo. Questa mattina quattro job di build stanno presentando token.

Apri la console della Trust policy e richiedi solo l'issuer, poi esegui i quattro job. Tre tornano con credenziali. Aggiungi la condizione sul repository ed eseguili di nuovo.

Cosa ti dice l'esecuzione con il solo issuer?