隔離單一租戶

你的團隊把所有客戶的資料列都放在同一個 DynamoDB 資料表裡，每個租戶用一個分割區鍵。報表服務會代替已登入的使用者讀取該表，而它目前帶著某人匆忙加上的 AWS 受管原則。

開啟 Tenant isolation 主控台，先看那個受管原則實際回傳了什麼。接著切換到客戶自管原則，影片中 dynamodb:LeadingKeys 條件就寫在這個原則裡，逐一檢視它的陳述式所授與的動作。

那個條件本身會拒絕 5 個請求中的 2 個。但這仍稱不上隔離。

哪一個變更最終能阻止呼叫者讀到其他租戶的資料列？