Podmínkové klíče IAM pro DynamoDB

Máš multi-tenantní tabulku v DynamoDB s tenantId jako partition key. Chceš zajistit, aby uživatelé měli přístup pouze k datům svého tenanta (tenant-123), a to i v případě chyby v kódu aplikace. Vytváříš IAM politiku pro roli uživatele.

Která podmínka v IAM politice správně vynucuje izolaci na úrovni tenanta?