AWS CodeCommit开发者分支权限管控：限制跨分支操作

核心思路 #

利用AWS IAM的条件键结合CodeCommit的资源粒度控制，将开发者的IAM身份与专属分支绑定，实现仅允许操作自身分支的权限。

具体实现步骤 #

1. 统一分支与身份的对应规则 #

先约定分支命名与开发者IAM身份一一对应：

• 开发者A对应分支 dev-a
• 开发者B对应分支 dev-b
• 以此类推，确保分支名能直接关联到对应的IAM用户。

2. 编写IAM权限策略 #

创建以下IAM策略，替换资源ARN中的区域、账号ID和仓库名为实际值：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "codecommit:GitPush",
                "codecommit:DeleteBranch",
                "codecommit:PutFile",
                "codecommit:MergePullRequestByFastForward"
                // 按需添加开发者需要的其他分支操作
            ],
            "Resource": "arn:aws:codecommit:us-east-1:123456789012:your-repo-name",
            "Condition": {
                "StringEquals": {
                    // 直接用IAM用户名匹配分支，分支名格式为「前缀+用户名」
                    "codecommit:BranchName": "dev-${aws:username}"
                    // 若用用户标签匹配：提前给IAM用户添加Branch标签，值为对应分支名
                    // "codecommit:BranchName": "${aws:tag/Branch}"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "codecommit:GetBranch",
                "codecommit:GetCommit",
                "codecommit:ListBranches"
                // 允许基础的只读权限，按需调整
            ],
            "Resource": "arn:aws:codecommit:us-east-1:123456789012:your-repo-name"
        }
    ]
}

3. 策略绑定与验证 #

• 将上述策略分别关联到对应的IAM用户（A、B、C、D）。
• 测试验证：用开发者A的身份尝试提交到dev-b会被拒绝，操作dev-a则正常执行。

关键细节 #

• 条件键codecommit:BranchName是实现分支级权限的核心，可精准限定操作范围。
• 若需要支持分支前缀匹配（如dev-a-feature-*），可将StringEquals替换为StringLike，条件值改为"dev-${aws:username}-*"。
• 确保策略优先级：如果存在宽泛的允许策略，需调整顺序让分支专属条件的策略优先生效。

内容的提问来源于stack exchange，提问作者Nagesh Patil