Isolar um tenant

Sua equipe mantém as linhas de todos os clientes em uma única tabela DynamoDB compartilhada, uma chave de partição por tenant. O serviço de relatórios lê essa tabela em nome de quem estiver conectado e, no momento, carrega a política gerenciada pela AWS que alguém anexou às pressas.

Abra o console Tenant isolation e leia o que essa política gerenciada retorna. Depois, mude para a política gerenciada pelo cliente, que é onde vive a condição dynamodb:LeadingKeys do vídeo, e analise as ações que sua declaração concede.

A condição nega duas das cinco solicitações sozinha. Ainda assim, isso não é isolamento.

Qual mudança finalmente impede o chamador de ler linhas de outro tenant?