Как ограничить доступ к AWS SSM с помощью тега EC2

https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awssystemsmanager.html#awssystemsmanager-policy-keys

Я не могу найти ответ, который проясняет это для меня

Я смотрю на этот пример: https://docs.aws.amazon.com/systems-manager/latest/userguide/getting-started-restrict-access-examples.html

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:instance/*"
            ],
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/Finance": [
                        "WebServers"
                    ]
                }
            }
        }
    ]
}

в чем разница между aws: TagKeys, ssm: resourceTag / tag-key, aws: ResourceTag / $ {TagKey}

что такое ssm: resourceTag? чем он отличается от aws: ResourceTag / $ {TagKey}? Это специальный тег, применяемый системным менеджером? Я не использую системный менеджер для применения тегов к экземплярам ec2, я просто помечаю их вручную. Как ограничить доступ диспетчера сеансов к моим экземплярам ec2 с помощью тегов, которые я применил к ним вручную?