Как разрешить подписку AWS IoT только на темы с идентификатором пользователя Cognito (sub)?

Я хочу, чтобы мой бэкэнд мог напрямую отправлять сообщения аутентифицированным пользователям. Это означает, что мне нужно ограничить пользователей подпиской только на темы под их собственными идентификаторами. В идеале, насколько я понимаю в настоящее время, у меня должна быть политика, в которой пользователь sub является переменной:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Receive",
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:Subscribe"
      ],
      "Resource": "arn:aws:iot:us-east-1:949960872797:topicfilter/user/${cognitoUserSub}/someTopic"
    }
  ]
}

Если в конечном итоге идентификатор cognito не подходит для этой политики, сообщите мне, какой другой идентификатор я бы предоставил. Что бы это ни было, мне нужно как-то получить его на основе идентификатора когнито пользователя (sub).

Обратите внимание, что мои знания в этом отношении очень ограничены, поэтому я понимаю, что могу немного ошибаться.