決定誰可以承擔（assume）此角色

你的建置工作在 AWS 之外執行，所以沒有附加任何角色，憑證鏈也找不到可拾取的身分。改由 CI 平台簽發一個短效的 OIDC 權杖，裡面標示作業執行所在的 repository，STS 再以該權杖兌換臨時憑證。

兌換是否成功取決於信任政策（trust policy）：事先寫在 reports-deploy-role 上、指定誰可以承擔該角色的規則。今天早上有四個建置工作出示了權杖。

開啟 Trust policy 主控台，先只要求核發者，接著執行這四個工作。會有三個拿到憑證。再加入 repository 條件，並再次執行。

只要求核發者時的結果告訴你什麼？