Розуміння ключів умов IAM для DynamoDB

У вас є багаторівнева (multi-tenant) таблиця DynamoDB з tenantId як ключем розділу. Ви хочете гарантувати, що користувачі зможуть отримувати доступ лише до даних свого орендаря (tenant-123), навіть якщо у вашому застосунку виникне баґ. Ви створюєте політику IAM для ролі користувача.

Яка умова політики IAM коректно забезпечує ізоляцію на рівні орендаря?