Security Intermediate SECURITY-031 · 22 min

IAM role trust policy rejects GitHub OIDC token

The workflow reaches the cloud provider, but the trust policy denies the token because the expected audience or subject does not match the actual issuer claims.

IAMPro

시나리오

The workflow reaches the cloud provider, but the trust policy denies the token …

구독하면 이어서 볼 수 있어요

이 문제의 전체 시나리오와 점검 체크리스트, 복구 순서, 모범 풀이는 Pro 구독에서 열립니다.

구독 안내 보기

다음으로 이어서 보기 좋은 문제

내 풀이

저장됨

1 · 원인 분석 2 · 복구 방안 3 · 재발 방지

풀이 기록·힌트·북마크는 로그인하면 계정에 저장되어 웹·앱에서 이어집니다.

IAM role trust policy rejects GitHub OIDC token

KMS alias resolves correctly but decrypt still fails for the app role

Least-privilege refactor breaks cross-account access

An IAM role trust policy is updated for the new OIDC issuer, but the condition key still references the old provider path and federated deploys fail

A federated login trust points at the correct issuer while the downstream application still enforces the old audience or group claim mapping during a staged decommission