决定谁可以假设该角色

您的构建作业在 AWS 之外运行，因此没有附加角色，凭证链也找不到可拾取的内容。取而代之的是，CI 平台会签发一个短期的 OIDC 令牌，写明作业运行的仓库，STS 再用该令牌换取临时凭证。

这次交换能否成功由信任策略决定：也就是预先写在 reports-deploy-role 上、说明谁可以假设它的规则。今天早上有 4 个构建作业提交了令牌。

打开 Trust policy 控制台，仅要求发行方，然后运行这 4 个作业。会有 3 个返回了凭证。再添加仓库条件并重新运行。

仅按发行方运行告诉了您什么？