Условные ключи IAM для DynamoDB

У вас есть мультиарендная таблица DynamoDB с tenantId в качестве ключа раздела. Вы хотите гарантировать, что пользователи смогут обращаться только к данным своего арендатора (tenant-123) — даже при наличии ошибок в коде приложения. Вы создаёте политику IAM для роли пользователя.

Какое условие политики IAM правильно обеспечивает изоляцию на уровне арендатора?