ある企業は、VPCエンドポイントポリシーを利用してAmazon S3へのアクセスを厳密に制御しています。 以下の要件を満たす必要があります。 ・VPC内のEC2インスタンスからは、企業のAWS Organizationsアカウント配下に属するすべてのS3バケットへのアクセスを許可する ・外部のサードパーティが所有するS3バケットへのアクセスは完全にブロックする VPCエンドポイントポリシーでこの要件を実現するために使用すべきIAM条件キーはどれですか。
選択肢Aのaws:ResourceOrgIDは、アクセス先リソース（S3バケット）が属するOrganizationのIDを条件として指定するIAM条件キーです。自組織のOrganization IDをエンドポイントポリシーに設定することで、組織外アカウント（サードパーティ）が所有するS3バケットへのリクエストをエンドポイントレベルで一律拒否でき、データ漏えい防止の境界を構築できます。 選択肢Bのs3:ResourceAccountは標準のIAMリファレンスには存在しない条件キーです。類似するaws:ResourceAccountは特定のAWSアカウントIDを条件に指定できますが、複数アカウントを持つ組織では全アカウントIDを個別列挙する必要があるため、組織単位での一括制御には適していません。 選択肢Cのaws:PrincipalOrgIDはリクエストを送信するプリンシパル（ユーザー・ロール）が属するOrganizationのIDを確認する条件キーです。リクエスト元の組織を制限するものであり、外部バケットへのアクセスをリソース側で制御する本要件には適していません。 選択肢Dのaws:SourceVpceはリクエストが特定のVPCエンドポイントから来ているかを確認するための条件キーです。エンドポイントの識別には使用できますが、アクセス先S3バケットの所有組織を制御する機能はなく本要件を満たせません。