Ошибка: не разрешено выполнять sts:AssumeRoleWithWebIdentity во время OIDC, когда PR объединяется с основным

Я пытаюсь взять на себя роль AWS, используя OIDC в ​​моем файле действий GitHub, но он говорит: «Ошибка: не разрешено выполнять sts: AssumeRoleWithWebIdentity». Когда мы объединяем PR с основным, но если я изменю настройку для работы при нажатии на основную, тогда оно работает. Ниже я делюсь всем вариантом использования.

В моем AWS я добавил своего поставщика удостоверений со следующими настройками.

имя провайдера: token.actions.githubusercontent.com аудитория: sts.amazonaws.com

В моих ролях я добавил следующую политику доверия.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::5599526xxxxx:oidc-provider/token.actions.githubusercontent.com"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "token.actions.githubusercontent.com:aud": "sts.amazonaws.com"
                },
                "StringLike": {
                    "token.actions.githubusercontent.com:sub": [
                        "repo:organisation-name/repo:ref:refs/heads/main",
                        "repo:organisation-name/repo:pull_request"
                    ]
                }
            }
        }
    ]
}

В разделе разрешений я также добавил 1 пользовательское разрешение, которое прикрепляю.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Resource": "*"
        }
    ]
}

Ниже приведен файл действий Github.

name: Deploy to Amazon ECS
on:
  pull_request:  #If I change setting for push it will work but on this setting it throws the error
    branches:
      - main
    types:
      - closed
env:
  AWS_REGION: us-east-1              
            
permissions:
      id-token: write   # This is required for requesting the JWT
      contents: read    # This is required for actions/checkout
jobs:
  deploy:
    runs-on: ubuntu-latest
    environment: sandbox
    steps:
      - name: Git clone the repository
        uses: actions/checkout@v4

      - name: configure aws credentials
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: arn:aws:iam::5599526xxxxx:role/github-role
          role-session-name: samplerolesession
          aws-region: ${{ env.AWS_REGION }}   
          

Кто-нибудь может подсказать, что здесь не так?