Zespoły używają repozytoriów CodeCommit w wielu kontach AWS w ramach AWS Organization. Deweloperzy logują się za pomocą IAM Identity Center z zewnętrznym IdP i przyjmują rolę dewelopera, aby używać Git. Przegląd bezpieczeństwa wykazał, że deweloperzy mogą modyfikować gałąź main dowolnego repozytorium. Musisz ograniczyć każdy zespół tak, aby mógł modyfikować gałąź main tylko w repozytoriach, które są jego własnością. Która kombinacja kroków to wymusi? (Wybierz trzy.)

Aby ograniczyć modyfikacje gałęzi main, należy zastosować podejście oparte na tagach i zasadach. Po pierwsze, otagowanie każdego repozytorium CodeCommit tagiem access-team z nazwą zespołu właściciela (np. access-team:teamA) pozwala na identyfikację przynależności repozytorium. Po drugie, aktualizacja asercji SAML w IAM Identity Center o nazwę zespołu użytkownika i dodanie tagu sesji access-team do roli dewelopera (np. aws:PrincipalTag/access-team:teamA) umożliwia identyfikację zespołu użytkownika. Na koniec, zastosowanie Service Control Policy (SCP) na poziomie organizacji, które porównuje tag sesji użytkownika z tagiem zasobu repozytorium, skutecznie ogranicza możliwość modyfikacji gałęzi main tylko do członków zespołu będącego właścicielem repozytorium. Pozostałe opcje są nieprawidłowe, ponieważ: Szablon reguły zatwierdzania nie jest przeznaczony do kontroli dostępu opartej na tagach i nie zapewnia wymaganej granularności. Granica uprawnień IAM ogranicza maksymalne uprawnienia, ale nie wymusza konkretnych ograniczeń dostępu w oparciu o tagi zasobów i podmiotów.