Google Cloudリソースを階層的に管理する際、ポリシー継承のルートとなる最上位のコンテナはどれか。

外部インターネットに公開せず、Google Cloud内部リソースへのアクセスのみを許可するプライベートなDNSゾーンを作成できるサービスはどれか。