Les développeurs utilisent AWS CodeCommit avec des branches de fonctionnalités (feature branches) et des pull requests pour fusionner les modifications dans la branche principale (main branch). Ils doivent être empêchés de pousser directement vers la branche principale. Les développeurs ont reçu la politique gérée AWSCodeCommitPowerUser, qui autorise actuellement les poussées directes vers la branche principale pour chaque dépôt. Comment l'entreprise peut-elle empêcher les développeurs de pousser directement vers la branche principale ?

La bonne approche est d'attacher une politique IAM supplémentaire avec un Deny explicite. En IAM, un Deny explicite l'emporte toujours sur un Allow, même si l'utilisateur possède une autre politique qui autorise l'action. Cette politique supplémentaire ciblerait spécifiquement les actions git-push et PutFile sur la branche main pour les dépôts concernés. L'option de modifier la politique existante n'est pas idéale car AWSCodeCommitPowerUser est une politique gérée par AWS. Il est généralement déconseillé de modifier les politiques gérées, car elles peuvent être mises à jour par AWS, ce qui pourrait annuler vos modifications ou créer des conflits. Supprimer la politique existante et la remplacer par AWSCodeCommitReadOnly est trop restrictif et nécessiterait de recréer de nombreuses autorisations. Ajouter une politique qui autorise GitPush et PutFile uniquement sur les branches de fonctionnalités ne résout pas le problème du push direct sur la branche main si une autre politique l'autorise déjà.