解説

Gateway 型 VPC エンドポイントのエンドポイントポリシーは、そのエンドポイントを経由する S3 への全リクエストに対して、利用する IAM ロールに依存せず強制適用される。条件キー aws:ResourceOrgID を用いてアクセス先 S3 バケットの所有アカウントが属する組織を判定し、自組織の ID と一致しないリクエストを Deny すれば、外部バケットへのデータ持ち出しをネットワーク経路上で一律に遮断できる。 選択肢のバケットポリシー（aws:SourceVpce）は自組織が所有するバケットにしか設定できず、外部バケットを制御できない。 選択肢の SCP（aws:PrincipalOrgID）はリクエスト元の組織を見る条件キーで、アクセス先バケットの組織を判定しないため外部への書き込みを防げない。 選択肢のセキュリティグループ/NACL は S3 プレフィックスリスト単位でしか制御できず、バケット所有者で区別できない。