ตัดสินใจว่าใครสามารถ assume role ได้

build job ของคุณทำงานนอก AWS จึงไม่มี role ผูกอยู่ และ credential chain ก็หาอะไรให้หยิบใช้ไม่ได้เลย แทนที่จะเป็นแบบนั้น แพลตฟอร์ม CI จะเซ็น OIDC token ระยะสั้นที่ระบุ repository ที่งานนั้นรันอยู่ แล้ว STS จะแลก token นั้นเป็น credentials ชั่วคราว

การแลกจะสำเร็จหรือไม่ขึ้นอยู่กับ trust policy ซึ่งคือกฎที่เขียนไว้ล่วงหน้าบน reports-deploy-role ว่าใครสามารถ assume มันได้บ้าง เช้านี้มี build job 4 งานกำลังยื่น token เข้ามา

เปิดคอนโซล Trust policy แล้วกำหนดให้ตรวจสอบเฉพาะ issuer เท่านั้น จากนั้นรันงานทั้ง 4 งาน จะมี 3 งานที่ได้รับ credentials กลับมา เพิ่มเงื่อนไขเรื่อง repository แล้วรันอีกครั้ง

ผลการรันที่ตรวจสอบเฉพาะ issuer บอกอะไรคุณบ้าง