IAMロールの信頼ポリシーにおいて、特定のCognito Identity Poolからのアクセスのみを許可するために使用する条件キーはどれか。

S3バケットポリシーにおいて、`NotPrincipal` 要素を使用する場合、明示的に「拒否（Deny）」を含めないと効果がない理由はどれか。