Entendendo as condition keys do IAM para o DynamoDB

Você tem uma tabela do DynamoDB multi-tenant com tenantId como chave de partição. Você quer garantir que os usuários só acessem os dados do próprio tenant (tenant-123), mesmo que exista um bug no código da sua aplicação. Você está criando uma política do IAM para o papel (role) do usuário.

Qual condição de política do IAM aplica corretamente o isolamento no nível do tenant?