Os desenvolvedores usam o AWS CodeCommit com feature branches e pull requests para mesclar alterações na branch principal. Eles devem ser impedidos de fazer push diretamente para a branch principal. Os desenvolvedores receberam a política gerenciada AWSCodeCommitPowerUser, que atualmente permite pushes diretos para a branch principal em todos os repositórios. Como a empresa pode impedir que os desenvolvedores façam push diretamente para a branch principal?

A opção correta é anexar uma política IAM adicional com um Deny explícito. As políticas de Deny explícito sempre se sobrepõem às políticas de Allow, mesmo que a política de Allow seja mais específica. Isso garante que, independentemente das permissões concedidas pela AWSCodeCommitPowerUser, o push direto para a branch principal será bloqueado. A condição na política garante que a restrição se aplique apenas à branch principal, permitindo pushes para outras branches. Remover a política existente e usar AWSCodeCommitReadOnly não é prático, pois os desenvolvedores precisam de permissões para fazer push para feature branches. Editar a política gerenciada AWSCodeCommitPowerUser não é uma boa prática, pois políticas gerenciadas são mantidas pela AWS e podem ser sobrescritas. Adicionar uma política que permita pushes apenas para feature branches não impede explicitamente o push para a branch principal, o que é o requisito principal.