テナントを1つに分離する

あなたのチームは、全顧客の行を1つの共有 DynamoDB テーブルにまとめて保存しており、パーティションキーはテナントごとに1つです。レポートサービスはサインインしているユーザーに代わってこのテーブルを読み取りますが、現在は誰かが急いでアタッチした AWS 管理ポリシーのままになっています。

Tenant isolation コンソールを開き、その管理ポリシーが何を返すのか確認しましょう。次にカスタマー管理ポリシーに切り替えてください。こちらには動画で紹介した dynamodb:LeadingKeys 条件があります。そのステートメントが許可しているアクションを1つずつ見ていきましょう。

この条件だけで、5件のリクエストのうち2件は拒否されます。それでもまだ分離できているとは言えません。

呼び出し元が他のテナントの行を読み取れなくなる、決定的な変更はどれでしょうか？