Изолируйте одного арендатора

Ваша команда хранит строки всех клиентов в одной общей таблице DynamoDB, по одному ключу партиции на каждого арендатора. Сервис отчётов читает эту таблицу от имени того, кто сейчас выполнил вход, и сейчас к нему второпях подключили управляемую политику AWS.

Откройте консоль изоляции арендаторов и посмотрите, что возвращает эта управляемая политика. Затем переключитесь на политику, управляемую клиентом, — именно в ней находится условие dynamodb:LeadingKeys из видео, — и разберите, какие действия разрешает её утверждение.

Условие само по себе отклоняет два из пяти запросов. Но это всё ещё не изоляция.

Какое изменение наконец не позволит вызывающей стороне читать строки другого арендатора?