S3バケットへのアクセスログ（サーバーアクセスログ）を保存するターゲットバケットのセキュリティベストプラクティスとして正しいものはどれですか。

IAMポリシーの「NotPrincipal」要素を使用する際、意図せずアクセスを許可してしまうリスクがあるため、通常どのような制限と共に使用することが推奨されますか。