Letra ChicaIAM● verificado hace 34 días◌ sin revisor externo
El subject tiene que coincidir exacto, sin comodines, y hay un máximo de 20 credenciales por identidad
En Azure la confianza no es una policy: cada federated identity credential es un par issuer + subject que tiene que coincidir carácter por carácter con el sub del token. No hay comodines, así que necesitás una credencial por environment, rama o tag, con un tope de 20 por identidad. En AWS o GCP lo resolvés con StringLike o una condición CEL. Ojo: si cargás mal el subject, la credencial se crea sin error y la falla recién aparece en el login.