S3 Object Lambdaを使用して、リクエスト元のユーザー属性に応じて画像に透かし（Watermark）を入れたり、個人情報をマスクしたりして返したいと考えています。S3 Object Lambdaアクセスポイントを経由せずに、オリジナルのS3バケットに直接アクセスされることを防ぐにはどうすればよいですか。

AWS OrganizationsのSCPを使用して、特定のAWSリージョン（例：us-east-1とap-northeast-1以外）の使用を禁止しています。しかし、CloudFrontやIAM、Route 53などのグローバルサービスが機能しなくなる問題が発生しました。これを回避するためのSCPの記述方法はどれですか。