CloudFrontのOrigin Access Control (OAC) を設定しましたが、S3バケットへの直接アクセスがまだ可能です。何が不足していますか。

VPC AからVPC Bへピアリング接続経由で通信したい。VPC BのセキュリティグループでVPC Aからの通信を許可する際、CIDRではなく「VPC AのセキュリティグループID」を指定できる条件は何ですか。