Gli sviluppatori usano AWS CodeCommit con feature branch e pull request per unire le modifiche nel branch main. Deve essere impedito loro di eseguire il push direttamente nel branch main. Agli sviluppatori è stata concessa la policy gestita AWSCodeCommitPowerUser, che attualmente consente push diretti a main per ogni repository. Come può l'azienda impedire agli sviluppatori di eseguire il push direttamente nel branch main?

La risposta corretta è allegare una policy IAM aggiuntiva con un Deny esplicito. Le policy Deny esplicite sovrascrivono sempre le policy Allow, anche se la policy Allow è più specifica o è stata applicata prima. Questo è il modo più efficace per impedire il push diretto al branch main, garantendo che le modifiche vengano unite solo tramite pull request. Le altre opzioni sono errate perché: Rimuovere la policy esistente e allegare AWSCodeCommitReadOnly non consentirebbe agli sviluppatori di eseguire il push a nessun branch, rendendo il loro flusso di lavoro impraticabile. Modificare la policy esistente per aggiungere un Deny è un'opzione valida, ma allegare una policy separata è spesso preferibile per una migliore gestione e auditability, specialmente quando si tratta di sovrascrivere permessi esistenti. Aggiungere una policy che consente il push solo ai feature branch non impedirebbe esplicitamente il push al branch main, poiché la policy AWSCodeCommitPowerUser esistente potrebbe ancora consentirlo.