Deweloperzy używają AWS CodeCommit z gałęziami funkcji (feature branches) i żądaniami ściągnięcia (pull requests) do łączenia zmian z gałęzią główną (main branch). Muszą mieć uniemożliwione bezpośrednie wypychanie (push) do gałęzi głównej. Deweloperom przyznano zarządzaną politykę AWSCodeCommitPowerUser, która obecnie zezwala na bezpośrednie wypychanie do gałęzi głównej dla każdego repozytorium. Jak firma może uniemożliwić deweloperom bezpośrednie wypychanie do gałęzi głównej?

Prawidłowa odpowiedź to dołączenie dodatkowej polityki IAM z jawnym Deny. Jawne Deny zawsze nadpisuje Allow, nawet jeśli istnieją inne polityki zezwalające na daną akcję. W tym przypadku, polityka AWSCodeCommitPowerUser zezwala na GitPush. Dodanie polityki z jawnym Deny dla GitPush i PutFile, warunkowo dla gałęzi głównej, skutecznie zablokuje bezpośrednie wypychanie do niej, jednocześnie pozwalając na pracę w gałęziach funkcji. Pozostałe opcje są nieprawidłowe: Usunięcie istniejącej polityki i dołączenie AWSCodeCommitReadOnly wraz z Allow dla GitPush i PutFile dla gałęzi głównej jest błędne, ponieważ celem jest zablokowanie wypychania do gałęzi głównej, a nie zezwalanie na nie. Edycja istniejącej polityki IAM nie jest zalecana, ponieważ AWSCodeCommitPowerUser jest polityką zarządzaną przez AWS, a jej modyfikacja nie jest możliwa. Dodanie polityki zezwalającej na GitPush i PutFile tylko do gałęzi funkcji nie rozwiąże problemu, ponieważ istniejąca polityka AWSCodeCommitPowerUser nadal zezwalałaby na wypychanie do gałęzi głównej.