Amazon S3のバケットポリシーにおいて、特定のVPCエンドポイント経由のアクセスのみを許可し、それ以外のアクセス（パブリックや他のVPC）を拒否したい場合、Condition句でどのキーを使用すべきですか。

Web層、App層、DB層の3層アーキテクチャにおいて、App層のEC2インスタンスがプライベートサブネットにあり、インターネット上の外部APIにアクセスする必要があります。セキュリティ要件として、外部からの通信は一切遮断し、発信通信のみを許可する場合、何を使用しますか。