流通企業のガバナンス チームが、Cloud Storage の ACL を全社で使わせない状態にしたい。アクセス制御を IAM だけに一本化し、新しく作られるバケットにも自動で効かせたい。各プロジェクトの設定に任せず、組織ポリシーで強制したい。適切な制約はどれか。