IAM Access Analyzerの「外部アクセス分析」において、S3バケットが「公開（Public）」と判定された。しかし、バケットポリシーでは特定のIPアドレス制限をかけている。なぜ公開と判定されたのか。

API Gateway + Lambda構成で、トラフィックの急激なスパイク（数秒で数千リクエスト）が予測される。Lambdaの「Provisioned Concurrency」を設定したが、API Gateway側で504 Timeoutが発生した。原因として考えられる設定ミスはどれか。