S3バケットへのアクセスを、特定のVPCエンドポイント経由のみに制限したい。バケットポリシーのCondition句で指定すべき条件キーはどれか。

サーバーレスアプリケーションモデル（SAM）を使用してLambdaとAPI Gatewayをデプロイしている。「AutoPublishAlias」機能を使用して、デプロイごとに新しいバージョンを発行し、エイリアスを更新している。デプロイ失敗時に即座にロールバックするために、DeploymentPreferenceで指定できる設定はどれか。