Comprender las claves de condición de IAM para DynamoDB

Tienes una tabla de DynamoDB multi-tenant con tenantId como clave de partición. Quieres asegurarte de que los usuarios solo puedan acceder a los datos de su propio tenant (tenant-123), incluso si hay un error en tu código de aplicación. Estás creando una política de IAM para el rol del usuario.

¿Qué condición de la política de IAM aplica correctamente el aislamiento a nivel de tenant?