Bestäm vem som får anta rollen

Dina byggjobb körs utanför AWS, så ingen roll är kopplad och autentiseringskedjan hittar inget att hämta. Istället signerar CI-plattformen en kortlivad OIDC-token som anger vilket repository jobbet kördes i, och STS växlar den token mot tillfälliga autentiseringsuppgifter.

Huruvida växlingen lyckas avgörs av trust policy: regeln som skrivits in på reports-deploy-role i förväg, som anger vem som får anta den. Fyra byggjobb presenterar tokens den här morgonen.

Öppna Trust policy-konsolen och kräv endast utfärdaren, kör sedan de fyra jobben. Tre får tillbaka autentiseringsuppgifter. Lägg till repository-villkoret och kör dem igen.

Vad säger körningen med endast utfärdare dig?