1. CodeCommit 的协作实践中分支策略、权限模型与 CI 集成如何设计？
问题
在 AWS CodeCommit 上进行团队协作时，分支策略、权限模型以及与 CI 系统的集成应如何设计？
考察点
- Git 分支策略（如 trunk-based、GitFlow）与保护分支
- IAM 权限模型与 CodeCommit 的细粒度授权
- 与 CodeBuild/CodePipeline 的集成方式
答案
CodeCommit 的核心价值在于提供完全托管的、私有且安全的 Git 仓库，直接与 AWS IAM、CodePipeline、CodeBuild、CodeArtifact 等原生服务集成。分支策略上，团队通常采用 trunk-based 搭配短生命周期分支，或 GitFlow 的分支模型；利用分支保护（branch protection）限制 master/main 分支的直推，要求通过 PR（Pull Request）合并。权限模型上，基于 IAM 策略（如 AWSCodeCommitFullAccess、AWSCodeCommitPowerUser、AWSCodeCommitReadOnly）对用户/组授予仓库级或分支级的操作权限，可结合 AWS 托管策略与自定义策略实现最小权限。CI 集成方面，CodePipeline 通常监听 CodeCommit 的 push 事件（通过 CloudWatch Events / EventBridge）触发构建，或 CodeBuild 直接以 CodeCommit 为 source 拉取代码。还可通过 Git credential helper、SSH 或 HTTPS 配置源管理访问。
解析
设计的关键在于把"谁能改什么、谁合并什么、代码怎么进流水线"三者用 AWS 原生能力显式表达，避免手动管理自建 Git 基础设施的运维负担，同时借助 IAM 与审计日志（CloudTrail）满足合规要求。
示例代码
# CodeCommit 仓库 + IAM 只读权限
resource "aws_codecommit_repository" "app" {
repository_name = "my-app"
description = "App source repo"
}
resource "aws_iam_policy" "readonly" {
name = "codecommit-readonly"
policy = jsonencode({
Version = "2012-10-17"
Statement = [{
Effect = "Allow"
Action = [
"codecommit:GitPull",
"codecommit:Get*"
]
Resource = aws_codecommit_repository.app.arn
}]
})
}