AWS ElasticSearch в частной подсети - безопасно ли иметь подписанный URL / политику доступа?

У меня есть кластер ES в нашем VPC, подключенный к одной из наших частных подсетей. Он также присоединен к группе безопасности, разрешающей доступ из определенных экземпляров. К мне прилагается следующая политика:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:*",
      "Resource": "our::arn:*"
    }
  ]
}

У меня вопрос, насколько я могу судить, это должно означать, что публично этот кластер не должен быть доступен, верно? Я провел некоторое тестирование, и это кажется правильным, но просто хочу убедиться, что я ничего не упускаю