IAMポリシーのCondition要素で `aws:SourceIp` を使用してアクセス制限を行う際、この条件が機能しない（意図通りに制限できない）ケースはどれですか。

Cognitoにおいて、FacebookやGoogleなどのソーシャルIDプロバイダーを使ってログインし、その後AWSリソース（S3など）への一時的なアクセス権（IAMロール）を取得したい場合、どの機能を使用しますか。