ある会社は、AWS Control Tower の proactive コントロールで、暗号化されていない S3 バケットの作成を止めている。ところが、ある開発者がマネジメントコンソールで手作業でバケットを作ったところ、暗号化されていないバケットが作成されてしまった。CloudFormation で作ったバケットは正しく止められている。この理由として正しいものはどれか。