Определите, кто может принимать роль

Ваши сборочные задания выполняются вне AWS, поэтому к ним не привязана ни одна роль, и цепочке получения учётных данных просто нечего подхватывать. Вместо этого CI-платформа подписывает короткоживущий OIDC-токен с указанием репозитория, в котором выполнялось задание, а STS обменивает этот токен на временные учётные данные.

Успех обмена определяется политикой доверия (trust policy) — правилом, заранее прописанным в reports-deploy-role, которое указывает, кто может принимать эту роль. Сегодня утром токены предъявляют четыре сборочных задания.

Откройте консоль Trust policy и укажите требование только по издателю (issuer), затем запустите все четыре задания. Три из них получают учётные данные. Добавьте условие по репозиторию и запустите задания снова.

О чём говорит результат запуска с проверкой только издателя?