Los desarrolladores usan AWS CodeCommit con ramas de características (feature branches) y solicitudes de extracción (pull requests) para fusionar cambios en la rama principal (main branch). Se les debe impedir que hagan push directamente a la rama principal. A los desarrolladores se les concedió la política administrada AWSCodeCommitPowerUser, que actualmente permite pushes directos a la rama principal para cada repositorio. ¿Cómo puede la compañía evitar que los desarrolladores hagan push directamente a la rama principal?

La opción correcta es adjuntar una política de IAM adicional con un Deny explícito. AWS IAM evalúa las políticas de forma que un Deny explícito siempre anula cualquier Allow. Al crear una política separada que deniegue las acciones GitPush y PutFile específicamente para la rama main en los repositorios relevantes, se asegura que los desarrolladores no puedan hacer push directamente a esa rama, incluso si otras políticas les otorgan permiso general. Las otras opciones son incorrectas porque: Eliminar AWSCodeCommitPowerUser y adjuntar AWSCodeCommitReadOnly es demasiado restrictivo y requeriría reconstruir los permisos de escritura para todas las ramas de características, lo cual es ineficiente. Editar la política administrada AWSCodeCommitPowerUser no es una buena práctica, ya que las políticas administradas por AWS pueden ser actualizadas por AWS, sobrescribiendo los cambios locales. Agregar una política que solo permita push a ramas de características no impide explícitamente el push a la rama principal si ya existe un permiso de Allow más amplio.