API Gatewayのリソースポリシーで特定のIPアドレスブロックを拒否設定しました。しかし、Lambdaオーソライザーも設定されています。評価の順序はどうなりますか。

AWS Transfer Family (SFTP) を使用してファイルをS3にアップロードさせています。ユーザー認証を、自社のActive Directoryで行いたい。どの認証方式を選択すべきですか。