EC2インスタンスの「CPUクレジット」システム（T系インスタンス）において、「Unlimitedモード」が有効になっている場合、クレジットが枯渇するとどうなりますか。

CloudFrontとS3を組み合わせた静的サイトホスティングにおいて、S3バケットを直接公開せず、OAI（Origin Access Identity）またはOAC（Origin Access Control）を使用する設定を行いました。しかし「Access Denied」になります。S3バケットポリシーで許可すべきプリンシパルは誰ですか。