CloudFrontディストリビューションを使用してS3バケットのコンテンツを配信しています。ユーザーがS3バケットのURLに直接アクセスできないようにし、CloudFront経由でのみアクセスさせるにはどうすればよいですか。

パブリックサブネットとプライベートサブネットを持つVPCアーキテクチャにおいて、プライベートサブネット内のインスタンスがインターネットへアウトバウンド通信を行い、パッチをダウンロードできるようにするには何が必要ですか。