Визначте, хто може приймати роль

Ваші збірки виконуються поза AWS, тож роль не прикріплена, а ланцюжок облікових даних не знаходить, що підхопити. Натомість платформа CI підписує короткостроковий токен OIDC із назвою репозиторію, у якому запускався job, а STS обмінює цей токен на тимчасові облікові дані.

Чи відбудеться обмін, вирішує політика довіри: правило, завчасно записане в reports-deploy-role, яке визначає, хто може її приймати. Сьогодні вранці чотири збірки подають токени.

Відкрийте консоль Trust policy і вимагайте лише емітента, потім запустіть усі чотири збірки. Три повернулися з обліковими даними. Додайте умову за репозиторієм і запустіть їх знову.

Що показує запуск лише з емітентом?