Reglas de cifrado automático

encrypt Schema Keyword

"bsonType" : "object",
"properties" : {
  "<fieldName>" : {
    "encrypt" : {
      "algorithm" : "<string>",
      "bsonType" : "<string>" | [ "<string>" ],
      "keyId" : [ <UUID> ]
    }
  }
}

encrypt

Objeto

Indica que <fieldName> debe estar cifrado. El objeto encrypt cumple los siguientes requisitos:

• encrypt no puede haber ningún campo hermano en el objeto <fieldName>. encrypt debe ser el único hijo del objeto <fieldName>.

• encrypt No se puede especificar dentro de ningún subesquema de las palabras clave items o additionalItems. En concreto, el cifrado automático a nivel de campo del lado del cliente no admite el cifrado de elementos individuales de una matriz.

El encrypt objeto solo puede contener los siguientes campos:

• algorithm

• bsonType

• keyId

Incluir cualquier otro campo en el objeto encrypt genera errores al emitir operaciones de lectura o escritura cifradas automáticamente.

Si se omitenkeyIdoalgorithm, la biblioteca compartida de cifrado automático verifica el árbol completo de campos principales e intenta construir esas opciones a partir del objetoencryptMetadatamás cercano que especifique la opción. bsonTypeno se puede heredar y puede ser necesario según el valor dealgorithm.

Si la biblioteca compartida de cifrado automático no puede construir el objeto encrypt completo utilizando los campos especificados para el objeto y cualquier clave heredada encryptMetadatarequerida, el cifrado automático falla y devuelve un error.

encrypt.algorithm

String

Indica el algoritmo de cifrado que se debe usar al cifrar valores <fieldName> de.Solo admite los siguientes algoritmos:

• AEAD_AES_256_CBC_HMAC_SHA_512-Random

• AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic

Para obtener documentación completa sobre los algoritmos de cifrado, consulte Algoritmos de cifrado.

Si se omite, la biblioteca compartida de cifrado automático busca en el árbol completo de campos principales la clave más cercana encryptMetadata.algorithm y hereda ese valor. Si no existe una clave algorithm principal, el cifrado automático a nivel de campo falla y devuelve un error.

• Si encrypt.algorithm o su valor heredado AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic es, el encrypt objeto requiere el encrypt.bsonType campo.

• Si encrypt.algorithm o su valor heredado AEAD_AES_256_CBC_HMAC_SHA_512-Random es, el encrypt objeto puede incluir el encrypt.bsonType campo.

encrypt.bsonType

Cadena | Matriz de cadenas

El tipo BSON del campo que se va a cifrar. Obligatorio si encrypt.algorithm AEAD_AES_256_CBC_HMAC_SHA_512-Deterministices.

Si o su valor encrypt.algorithm heredado AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic es, bsonType debe especificar un solo tipo. bsonType no admite ninguno de los siguientes tipos BSON con el algoritmo de cifrado determinista:

• double

• decimal128

• bool

• object

• array

Si o su valor encrypt.algorithm heredado AED_AES_256_CBC_HMAC_SHA_512-Random es, bsonType es opcional y puede especificar una matriz de tipos bson compatibles. Para los campos con,bsonType array objectu, el cliente cifra la matriz u objeto completo, no sus elementos individuales.

encrypt.bsonType no admite los siguientes tipos independientemente de o su valor encrypt.algorithm heredado:

• minKey

• maxKey

• null

• undefined

encrypt.keyId

Matriz de UUID único

El UUID de la clave de cifrado de datos que se usará para cifrar los valores de campo. El UUID es un elemento de datos binarios BSON del 4 subtipo.

Especifique una cadena dentro de la matriz.

Si se omite, la Biblioteca Compartida de Cifrado Automático busca en el árbol completo de campos principales la clave más cercana encryptMetadata.keyId y hereda ese valor. Si no existe una clave keyId principal, el cifrado automático a nivel de campo falla y devuelve un error.

El valor o keyId su valor heredado debe existir en el almacén de claves especificado como parte de las opciones de configuración del cifrado automático. Si la clave de cifrado de datos especificada no existe, el cifrado automático falla.

Los controladores oficiales de MongoDB tienen requisitos específicos del lenguaje para especificar el UUID. Consulte la documentación del controlador para obtener información completa sobre la implementación del cifrado a nivel de campo del lado del cliente.

encryptMetadata Schema Keyword

{
  "bsonType" : "object",
  "encryptMetadata" : {
    "algorithm" : "<string>",
    "keyId" : [ <UUID> ]
  },
  "properties" : {
    "encrypt" : {}
  }
}

encryptMetadata

Objeto

Define las opciones de cifrado que un encrypt objeto anidado en su hermano properties puede heredar. Si a un encrypt le falta una opción necesaria para el cifrado, la Biblioteca Compartida de Cifrado Automático busca en todo el árbol de objetos padre para encontrar un objeto que especifique la opción que encryptMetadata falta.

encryptMetadata debe especificarse en subschemas con bsonType: "object". encryptMetadata no puede especificarse a ningún subschema de las palabras clave items o additionalItems. En concreto, el cifrado automático a nivel de campo del lado del cliente no admite cifrar elementos individuales de un arreglo.

El encryptMetadata objeto solo puede contener los siguientes campos. Incluir cualquier otro campo en el encrypt objeto genera errores al ejecutar operaciones de lectura o escritura cifradas automáticamente:

• algorithm

• keyId

encryptMetadata.algorithm

String

El algoritmo de cifrado que se utiliza para cifrar un campo determinado. Si encrypt a un objeto le falta el campo, la Biblioteca Compartida de Cifrado Automático busca algorithm encryptMetadata en encryptMetadata.algorithmtodo el árbolde objetos principales para encontrar un objeto que especifique.

Admite únicamente los siguientes algoritmos:

• AEAD_AES_256_CBC_HMAC_SHA_512-Random

• AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic

Para obtener documentación completa sobre los algoritmos de cifrado, consulte Algoritmos de cifrado.

Si se AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic especifica, cualquier encrypt objeto que herede ese valor debe encrypt.bsonTypeespecificar.

encryptMetadata.keyId

Matriz de UUID único

El UUID de una clave de cifrado de datos. El UUID es un elemento BSON datos binarios de subtipo 4.

Especifique una cadena dentro de la matriz.

Si a un objeto encrypt le falta el campo, la biblioteca compartida de cifrado automático busca keyId encryptMetadata en encryptMetadata.keyIdtodo el árbolde objetos principales para localizar un objeto que especifique.

La clave de cifrado de datos debe existir en el almacén de claves especificado como parte de las opciones de configuración del cifrado automático. Estas opciones también deben incluir el acceso adecuado al Servicio de administración de claves (KMS) y a la Clave maestra del cliente (CMK) utilizados para crear la clave de datos. El cifrado automático falla si la clave de cifrado de datos no existe o si el cliente no puede descifrarla con el KMS y la CMK especificados.

Los controladores oficiales de MongoDB tienen requisitos específicos del lenguaje para especificar el UUID. Consulte la documentación del controlador para obtener información completa sobre la implementación del cifrado a nivel de campo del lado del cliente.

Ejemplos

• Cifrar automáticamente varios campos

• Cifrar automáticamente varios campos con herencia

{
  "fname" : "<String>",
  "lname" : "<String>",
  "passportId" : "<String>",
  "bloodType" : "<String>",
  "medicalRecords" : [
    {<object>}
  ],
  "insurance" : {
    "policyNumber" : "<string>",
    "provider" : "<string>"
  }
}

{
  "MedCo.patients" : {
    "bsonType" : "object",
    "properties" : {
      "passportId" : {
        "encrypt" : {
          "keyId" : [UUID("bffb361b-30d3-42c0-b7a4-d24a272b72e3")],
          "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
          "bsonType" : "string"
        }
      },
      "bloodType" : {
        "encrypt" : {
          "keyId" : [UUID("bffb361b-30d3-42c0-b7a4-d24a272b72e3")],
          "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
          "bsonType" : "string"
        }
      },
      "medicalRecords" : {
        "encrypt" : {
          "keyId" : [UUID("f3821212-e697-4d65-b740-4a6791697c6d")],
          "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Random",
          "bsonType" : "array"
        }
      },
      "insurance" : {
        "bsonType" : "object",
        "properties" : {
          "policyNumber" : {
            "encrypt" : {
              "keyId" : [UUID("bffb361b-30d3-42c0-b7a4-d24a272b72e3")],
              "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
              "bsonType" : "string"
            }
          },
          "provider" : {
            "encrypt" : {
              "keyId" : [UUID("bffb361b-30d3-42c0-b7a4-d24a272b72e3")],
              "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
              "bsonType" : "string"
            }
          }
        }
      }
    }
  }
}

{
  "fname" : "<String>",
  "lname" : "<String>",
  "passportId" : "<String>",
  "bloodType" : "<String>",
  "medicalRecords" : [
    {<object>}
  ],
  "insurance" : {
    "policyNumber" : "<string>",
    "provider" : "<string>"
  }
}

{
  "MedCo.patients" : {
    "bsonType" : "object",
    "encryptMetadata" : {
      "keyId" : [UUID("6c512f5e-09bc-434f-b6db-c42eee30c6b1")],
      "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic"
    },
    "properties" : {
      "passportId" : {
        "encrypt" : {
          "bsonType" : "string"
        }
      },
      "bloodType" : {
        "encrypt" : {
          "bsonType" : "string"
        }
      },
      "medicalRecords" : {
        "encrypt" : {
          "keyId" : [UUID("6c512f5e-09bc-434f-b6db-c42eee30c6b1")],
          "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Random",
          "bsonType" : "array"
        }
      },
      "insurance" : {
        "bsonType" : "object",
        "properties" : {
          "policyNumber" : {
            "encrypt" : {
              "bsonType" : "string"
            }
          },
          "provider" : {
            "encrypt" : {
              "bsonType" : "string"
            }
          }
        }
      }
    }
  }
}