AWS Certificate Manager (ACM) でパブリック証明書を発行し、ELBに適用しようとしています。ドメインの検証方法としてDNS検証を選択しましたが、検証が完了しません。最も可能性の高い原因はどれですか。

Service Catalogを使用して、標準化されたインフラ構成（CloudFormationテンプレート）を製品としてエンドユーザーに提供しています。エンドユーザーにはIAM権限を与えず、Service Catalog経由でのみリソースを作成させたいと考えています。これを実現する機能はどれですか。