DynamoDB における IAM 条件キーの理解

tenantId をパーティションキーとするマルチテナント DynamoDB テーブルがあります。アプリケーションコードにバグがあった場合でも、ユーザーが自分のテナント（tenant-123）のデータにしかアクセスできないようにしたいと考えています。ユーザーのロールに対して IAM ポリシーを作成しています。

テナントレベルの分離を正しく実現する IAM ポリシーの条件はどれですか？