AWS　S3エンドポイントの運用方法

【概要】AWSのS3エンドポイントの運用方法を教えて下さい 【依頼背景】CloudWatchAgentを自動アップデートするため、AWSが管理しているS3バケット（最新のAgentをここから取得）へアクセルする要件があります。 セキュリティのためAWSのS3エンドポイントを経由してこのAWSのS3へアクセスするように設定すると、外部のバケットにもアクセスが可能になってしまうと思います。 ※前提として該当のAWSアカウントは外部通信は不可にしているにも関わらずです。 このあたりセキュリティを担保しつつ、CloudWatchAgentの自動アップデートを行う方法はないのでしょうか？ おすすめの方法がある方は教えて下さい。 【提案の際のお願い】実際に設定した実績がある方からの提案を募集します。