Как сделать разграничение хранилищей файлов для разных клиентов в saas приложении?

Лично я для SaaS обычно просто создаю отдельные папки в S3 по tenant_id, типа /client_123/uploads, и разруливаю доступ на уровне IAM политик или через presigned URL, чтобы одни клиенты не видели чужие файлы. Для совсем изолированных клиентов иногда завожу отдельные бакеты — так и чистить проще, и лимиты на количество объектов не смешиваются. Главное не забудь про логирование запросов, чтобы точно знать кто и куда лазил.