IAMユーザーに対して、特定のS3バケットへのアクセスのみを許可し、それ以外を拒否する設定を行うのに最適な方法はどれか。

VPC内のリソースがS3やDynamoDBにアクセスする際、インターネットゲートウェイを経由せずにプライベートに接続するための機能はどれか。