チームは、AWS Organizations 内の複数の AWS アカウントで CodeCommit リポジトリを使用しています。開発者は、外部 IdP を使用して IAM Identity Center 経由でサインインし、開発者ロールを引き受けて Git を使用します。セキュリティレビューにより、開発者が任意のリポジトリの main ブランチを変更できることが判明しました。各チームが所有するリポジトリの main ブランチのみを変更できるように、各チームを制限する必要があります。これを強制する手順の組み合わせはどれですか？（3つ選択してください。）

SAMLアサーションを更新し、IAMロールの信頼ポリシーを変更してセッションタグを追加することで、ユーザーのチーム情報を認証時に付与できます。これにより、CodeCommitリポジトリに付与されたaccess-teamタグとユーザーのセッションタグを比較し、所属チームのリポジトリのみにアクセスを制限できます。各CodeCommitリポジトリにaccess-teamタグを付けることで、リソースベースでのアクセス制御が可能になります。SCPは組織全体に適用され、mainブランチへの変更を制限するポリシーを記述することで、開発者が所属チームのリポジトリのmainブランチのみを変更できるように強制できます。承認ルールテンプレートはプルリクエストの承認フローを管理するものであり、直接的なアクセス制御には使用できません。IAMアクセス許可の境界は、IAMエンティティに付与できる最大権限を定義しますが、リソースへの条件付きアクセス制御には直接使用できません。