理解适用于 DynamoDB 的 IAM 条件键

您有一个多租户的 DynamoDB 表，tenantId 作为分区键。您希望确保用户只能访问其所属租户（tenant-123）的数据，即使应用代码中出现了缺陷。您正在为该用户的角色创建一条 IAM 策略。

哪个 IAM 策略条件能正确实施租户级隔离？