Organizationsの委任管理者（Delegated Administrator）としてセキュリティアカウントを指定しました。この委任管理者が実行できない（管理アカウントのみが実行可能な）操作はどれですか。

AWS Signerで署名されたコードをLambdaにデプロイする際、署名検証を有効にするには「コード署名設定（Code Signing Configuration）」を作成して関数に関連付けます。この設定で定義できるポリシー（UntrustedArtifactOnDeployment）の選択肢はどれですか。