ユーザーが誤って公開バケットを作成しないように、組織全体またはプロジェクトレベルで「ドメインによる制限付き共有」や「公開アクセスの防止」を強制する機能はどれか。

Cloud Storageのデータを、暗号化キーを自社で管理（CMEK）して保護する場合、キーの管理に使用するサービスと、そのキーをCloud Storageサービスアカウントに付与する役割はどれか。