Entwickler verwenden AWS CodeCommit mit Feature-Branches und Pull Requests, um Änderungen in den Main-Branch zu mergen. Es muss verhindert werden, dass sie direkt in den Main-Branch pushen. Den Entwicklern wurde die verwaltete Richtlinie AWSCodeCommitPowerUser zugewiesen, die derzeit direkte Pushes in den Main-Branch für jedes Repository erlaubt. Wie kann das Unternehmen verhindern, dass Entwickler direkt in den Main-Branch pushen?

Die korrekte Antwort ist, eine zusätzliche IAM-Richtlinie mit einem expliziten Deny für GitPush und PutFile zum Main-Branch hinzuzufügen. Explizite Deny-Anweisungen überschreiben immer Allow-Anweisungen, auch wenn die AWSCodeCommitPowerUser-Richtlinie das Pushen erlaubt. Dies stellt sicher, dass Entwickler nicht direkt in den Main-Branch pushen können, während sie weiterhin andere CodeCommit-Operationen ausführen können. Die Option, die vorhandene Richtlinie zu entfernen und AWSCodeCommitReadOnly anzuhängen, ist falsch, da dies die Entwickler zu stark einschränken würde. Das Bearbeiten der vorhandenen Richtlinie ist nicht ideal, da verwaltete Richtlinien von AWS verwaltet werden und Änderungen überschrieben werden könnten. Eine Richtlinie hinzuzufügen, die nur Feature-Branches erlaubt, ist ebenfalls nicht ausreichend, da dies das direkte Pushen in den Main-Branch nicht explizit verhindert.