Decide cine poate prelua rolul

Joburile tale de build rulează în afara AWS, deci niciun rol nu este atașat, iar lanțul de credențiale nu găsește nimic de preluat. În schimb, platforma CI semnează un token OIDC de scurtă durată care numește repository-ul în care a rulat jobul, iar STS schimbă acel token cu credențiale temporare.

Reușita schimbului este decisă de politica de încredere (trust policy): regula scrisă în avans pe reports-deploy-role, care stabilește cine o poate prelua. Patru joburi de build prezintă tokenuri în această dimineață.

Deschide consola Trust policy și solicită doar emitentul, apoi rulează cele patru joburi. Trei revin cu credențiale. Adaugă condiția pentru repository și rulează-le din nou.

Ce îți spune rularea doar cu emitent?