Разработчики используют AWS CodeCommit с feature-ветками и pull-запросами для слияния изменений в основную ветку (main). Им необходимо запретить прямые push-операции в ветку main. Разработчикам была предоставлена управляемая политика AWSCodeCommitPowerUser, которая в настоящее время разрешает прямые push-операции в main для каждого репозитория. Как компания может запретить разработчикам прямые push-операции в ветку main?

Правильный ответ — присоединить дополнительную политику IAM с явным запретом (Deny). Политики IAM оцениваются по принципу "наименее привилегированный доступ", и явный Deny всегда переопределяет любой Allow. Добавление отдельной политики с Deny для действий git-push и PutFile в ветку main (с использованием условия aws:SourceBranch) эффективно предотвратит прямые push-операции, при этом сохраняя существующие разрешения AWSCodeCommitPowerUser для других операций и веток. Удаление существующей политики и замена её на AWSCodeCommitReadOnly с последующим добавлением разрешений усложнит управление и может нарушить другие необходимые действия. Редактирование управляемой политики AWSCodeCommitPowerUser не рекомендуется, так как управляемые политики обновляются AWS, и ваши изменения могут быть перезаписаны. Добавление политики, разрешающей push только в feature-ветки, не решит проблему запрета push в main, так как существующая политика AWSCodeCommitPowerUser все равно разрешит это.