OU（組織単位）に対してSCP（サービスコントロールポリシー）を適用しました。そのOU内のメンバーアカウントに既に存在するIAMポリシーとSCPの関係はどうなりますか。

Webアプリケーションで、ユーザーが自分のメールアドレスとパスワードでサインアップ・ログインし、その後にAWSリソース（S3など）への一時的なアクセス権を得る構成を作りたい。Cognitoのどのコンポーネントを組み合わせますか。