Systems Manager Session Managerを使用してEC2インスタンスにアクセスする際、ポート22を開放する必要がない理由は何ですか。

VPCエンドポイントポリシーを使用して、特定のS3バケットへのアクセスのみを許可し、それ以外のバケットへのアクセスをブロックしたい。この設定はIAMポリシーによる許可とどのように相互作用しますか。