IAMポリシーの `aws:PrincipalTag` 条件キーを使用してABAC（属性ベースアクセス制御）を行っている。IAMユーザーのタグを変更できる権限を厳密に制限しなければならない理由はどれか。

CodeDeployのEC2デプロイにおいて、ASG（Auto Scaling Group）を使用しているが、スケールインイベント（インスタンス削除）の際に、アプリケーションのログをS3に退避させてから終了したい。CodeDeployのライフサイクルフックは使用できるか。