Zdecyduj, kto może przyjmować rolę

Twoje zadania budowania (build jobs) działają poza AWS, więc nie jest do nich dołączona żadna rola, a łańcuch poświadczeń nie ma czego podchwycić. Zamiast tego platforma CI podpisuje krótko żyjący token OIDC, wskazujący repozytorium, w którym uruchomiono zadanie, a STS wymienia ten token na tymczasowe poświadczenia.

To, czy wymiana się powiedzie, zależy od polityki zaufania (trust policy): reguły zapisanej wcześniej w reports-deploy-role, która określa, kto może przyjąć tę rolę. Dziś rano cztery zadania budowania przedstawiają swoje tokeny.

Otwórz konsolę Trust policy, wymagaj samego wystawcy, a następnie uruchom te cztery zadania. Trzy z nich zwrócą poświadczenia. Dodaj warunek dotyczący repozytorium i uruchom je ponownie.

Co mówi ci uruchomienie z wymaganiem samego wystawcy?