ECRのイメージスキャン設定で「プッシュ時のスキャン（Scan on push）」を有効にしていますが、最新の脆弱性情報を反映した再スキャンを行いたい場合、どうすればよいですか。

属性ベースのアクセス制御（ABAC）を実装しています。ユーザーが自分の部門（Departmentタグ）と同じタグを持つEC2インスタンスのみを起動・停止できるようにしたい。IAMポリシーの `Condition` ブロックはどのようになりますか。