解説

VPCエンドポイントポリシーは、そのエンドポイントを経由するすべてのトラフィックに適用されるリソースベースポリシーです。aws:ResourceAccount条件キーをVPCエンドポイントポリシーに設定することで、「自社AWSアカウントIDが所有するS3リソースへのアクセスのみ許可」という制御が可能です。EC2インスタンスが外部アカウントのバケットにアクセスしようとしても、エンドポイントポリシーで拒否されます。これはデータ持ち出し（data exfiltration）対策として非常に効果的なパターンであり、VPC全体に一元的に適用できます。 選択肢Bの自社バケットポリシーへのaws:SourceVpc追加は、自社バケットへのアクセスを特定VPCからのみに制限しますが、外部アカウントが所有するバケットのポリシーは自社で制御できないため、EC2から外部バケットへのアクセスを防ぐことはできない。 選択肢CのIAMロールポリシーで特定ARNのみを指定する方法は有効だが、すべてのEC2インスタンスのロールを個別に管理する必要があり、VPCエンドポイントポリシーによる一元制御より運用コストが高い。 選択肢DのSCPでS3操作を拒否すると自社バケットへの正当なアクセスも禁止されてしまい、「自社バケットへのアクセスは許可」という要件に反する。