Teams verwenden CodeCommit-Repositorys über mehrere AWS-Konten innerhalb einer AWS Organization hinweg. Entwickler melden sich über IAM Identity Center mit einem externen IdP an und übernehmen eine Entwicklerrolle, um Git zu verwenden. Eine Sicherheitsüberprüfung ergab, dass Entwickler den Hauptzweig (main branch) jedes Repositorys ändern können. Sie müssen jedes Team so einschränken, dass es nur den Hauptzweig der Repositorys ändern kann, die es besitzt. Welche Kombination von Schritten wird dies durchsetzen? (Wählen Sie drei.)

Um die Änderung des Hauptzweigs auf Repository-Besitzer zu beschränken, müssen Sie zuerst die Identität des Teams im Sitzungs-Tag des Benutzers verfügbar machen. Dies geschieht, indem die SAML-Assertion aktualisiert wird, um den Teamnamen aufzunehmen, und die IAM-Rollen-Vertrauensrichtlinie geändert wird, um einen access-team-Sitzungs-Tag mit diesem Teamnamen hinzuzufügen. Zweitens müssen die CodeCommit-Repositorys mit einem access-team-Tag versehen werden, dessen Wert dem Namen des besitzenden Teams entspricht. Schließlich wird eine Service Control Policy (SCP) auf Organisationsebene implementiert, die Änderungen am Hauptzweig nur zulässt, wenn der access-team-Sitzungs-Tag des Prinzipals mit dem access-team-Tag des Repositorys übereinstimmt. Die Option, Genehmigungsregelvorlagen zu erstellen, ist nicht die primäre Methode zur Durchsetzung von Berechtigungen für den Hauptzweig, da sie eher für Pull-Request-Workflows als für direkte Push-Berechtigungen gedacht ist. IAM-Berechtigungsgrenzen sind für die Definition der maximalen Berechtigungen einer IAM-Entität gedacht, nicht für die Durchsetzung von Zugriffsrichtlinien auf Ressourcenebene.