IAM-voorwaardesleutels voor DynamoDB begrijpen

Je hebt een multi-tenant DynamoDB-tabel met tenantId als partition key. Je wilt ervoor zorgen dat gebruikers alleen gegevens voor hun eigen tenant (tenant-123) kunnen openen, zelfs als er een bug in je applicatiecode zit. Je maakt een IAM-beleid voor de rol van de gebruiker.

Welke IAM-beleidsconditie handhaaft tenantisolatie op het juiste niveau?