Geliştiriciler, değişiklikleri ana dalla birleştirmek için özellik dalları ve çekme istekleri ile AWS CodeCommit'i kullanır. Doğrudan ana dala push yapmaları engellenmelidir. Geliştiricilere AWSCodeCommitPowerUser yönetilen politikası verildi ve bu politika şu anda her depoda doğrudan ana dala push yapılmasına izin veriyor. Şirket, geliştiricilerin doğrudan ana dala push yapmasını nasıl engelleyebilir?

Doğru cevap, belirli depolara ve ana dala yönelik koşullu bir açık Deny içeren ek bir IAM politikası eklemektir. AWS IAM politikaları, açık bir Deny ifadesiyle bir eylemi engellediğinizde, diğer Allow ifadeleri olsa bile bu Deny'nin öncelikli olduğunu belirten açık bir reddetme mantığına sahiptir. Bu, geliştiricilerin ana dala doğrudan push yapmasını engellerken, diğer dallara push yapmalarına izin verir. Diğer seçenekler neden yanlış: Mevcut politikayı kaldırmak ve AWSCodeCommitReadOnly eklemek, geliştiricilerin diğer dallara push yapma yeteneğini de kaldırır ve bu istenmez. Mevcut IAM politikasını düzenlemek, yönetilen bir politika olduğu için önerilmez. Yönetilen politikalar AWS tarafından sağlanır ve güncellenir; bunları düzenlemek, gelecekteki güncellemelerle çakışmalara neden olabilir. GitPush ve PutFile'a izin veren ancak bu eylemleri özellik dallarıyla kısıtlayan başka bir politika eklemek, doğrudan ana dala push yapmayı engellemez, sadece özellik dallarına push yapmayı kısıtlar.