AWS Control Towerにおいて、特定のセキュリティ違反（S3のパブリック公開禁止等）を未然に防ぐために、自動的に作成・適用される予防的なガードレールの実体はどれか。

AWS CloudFormationにおいて、テンプレート単体では作成できない独自のリソース（外部SaaSの設定等）を管理するために、Lambda関数をプロビジョニングロジックとして呼び出すリソースタイプはどれか。