KMSキーポリシーの `Condition` 要素で `kms:ViaService` を指定し、値に `s3.region.amazonaws.com` を設定しました。これは何を制限しますか。

S3の署名付きURLを生成しましたが、ユーザーから「Access Denied」になると報告がありました。URLの期限は切れていません。生成したIAMユーザーの権限を確認するとS3へのアクセス権はありました。見落としている可能性のある原因はどれですか。