Ontwikkelaars gebruiken AWS CodeCommit met feature branches en pull requests om wijzigingen samen te voegen in de main branch. Ze moeten worden verhinderd om rechtstreeks naar de main branch te pushen. Ontwikkelaars kregen het AWSCodeCommitPowerUser managed policy toegewezen, wat momenteel directe pushes naar main toestaat voor elke repository. Hoe kan het bedrijf voorkomen dat ontwikkelaars rechtstreeks naar de main branch pushen?

De correcte optie is het meest effectief omdat een expliciete 'Deny' in IAM-beleid altijd voorrang krijgt boven een 'Allow'. Door een aanvullend beleid te koppelen met een expliciete 'Deny' voor GitPush en PutFile acties op de main-branch, wordt gegarandeerd dat ontwikkelaars niet direct naar deze branch kunnen pushen, zelfs als andere beleidsregels (zoals AWSCodeCommitPowerUser) die acties toestaan. Dit beleid kan specifiek worden afgestemd op de relevante repositories. De andere opties zijn minder geschikt: Het verwijderen van AWSCodeCommitPowerUser en het toekennen van AWSCodeCommitReadOnly is te restrictief en vereist een complexere reeks 'Allow'-statements om de benodigde functionaliteit te herstellen. Het bewerken van het bestaande AWSCodeCommitPowerUser beleid is geen best practice, omdat dit een beheerd beleid is dat door AWS wordt onderhouden. Het is beter om aangepaste beperkingen toe te voegen via afzonderlijke, klantbeheerde beleidsregels. Het toevoegen van een beleid dat GitPush en PutFile toestaat, maar beperkt tot feature branches, lost het probleem van directe pushes naar main niet op, omdat het geen expliciete 'Deny' bevat die voorrang krijgt.