オンプレミス環境（パブリックネットワークアクセス不可）から IAM Roles Anywhere で CreateSession を実行する際の VPC エンドポイントとVPCエンドポイントポリシー設定について

AM Roles Anywhere について質問させてください。

オンプレミス環境（VPCへ接続、パブリックネットワークアクセス不可）aws_signing_helper を利用して CreateSession を実行する際（証明書・プロファイル・信頼アンカーを指定し、アクセスキーとセッショントークンを取得するケース）に、IAM Roles Anywhere のエンドポイントポリシー設定としては、どのリソースに対してどのアクションを許可すればよいでしょうか？ 当初は arn:aws:rolesanywhere:ap-northeast-1:{AWSアカウントID}:* に対し rolesanywhere:CreateSession を許可すれば良いと考えておりました。しかし公式ドキュメントによると、VPC エンドポイントでは CreateSession API をサポートしていないように読み取れます。さらにインターネット上に参考情報が少なく、適切なポリシーの記述例がわかりかねております。

以上、ご教示いただけますと幸いです。どうぞよろしくお願いいたします。