機密データを格納したS3バケットに対して、自社VPC内に作成した特定のVPCエンドポイント経由のアクセスのみを許可し、インターネット経由など他の経路からのアクセスはIAM権限があっても拒否したい場合、バケットポリシーで使う条件キーはどれですか

正解の理由：バケットポリシーでaws:SourceVpce条件キーを使い、指定したVPCエンドポイントID以外からのアクセスを明示的にDenyすると、IAMで許可されているプリンシパルであっても他の経路からは拒否されます。明示的Denyはすべての許可に優先するため強力なガードレールになります。aws:SourceIpはパブリックIPアドレスに基づく制御で、VPCエンドポイント経由の通信はプライベートIPになるため意図どおりに動きません。aws:PrincipalOrgIDは組織のアカウントに限定する条件、s3:x-amz-server-side-encryptionは暗号化ヘッダーを要求する条件です。