CloudHSMキーストア（Custom Key Store）を使用するKMSキーについて、KMSサービス自体が利用できなくなった場合でも、直接CloudHSMクラスターにアクセスしてキーを使用（復号など）することはできますか。

S3バケットポリシーで `NotPrincipal` を使用して、「特定のIAMユーザー以外は全て拒否」という設定を行いました。しかし、この設定によりS3のログ配信などのAWSサービスアクセスも拒否されてしまいました。これを回避するための正しいアプローチは何ですか。