ロールを引き受けられる対象を決める

ビルドジョブは AWS の外部で実行されるため、ロールはアタッチされておらず、認証情報チェーンは何も取得できません。代わりに CI プラットフォームが、ジョブを実行したリポジトリを示す短命の OIDC トークンに署名し、STS がそのトークンを一時的な認証情報と交換します。

この交換が成功するかどうかは、信頼ポリシーによって決まります。つまり、reports-deploy-role にあらかじめ記述されたルールが、誰がこのロールを引き受けられるかを定めています。今朝、4つのビルドジョブがトークンを提示しています。

Trust policy コンソールを開き、発行者のみを要求する設定にしてから、4つのジョブを実行しましょう。3つが認証情報を得て返ってきます。次にリポジトリ条件を追加して、再度実行しましょう。

発行者のみで実行した結果から何がわかりますか？