Soporte de lectura/escritura con cifrado automático a nivel de campo

Comandos de lectura y escritura admitidos

Los drivers oficiales compatibles con MongoDB 4.2+ admiten el cifrado automático a nivel de campo en el lado del cliente con los siguientes comandos:

• aggregate

• count

• delete

• distinct

• explain

• find

• findAndModify

• insert

• update

Para cualquier comando admitido, los controladores compatibles con la versión 4.2+ generan un error si el comando usa un operador no compatible, una etapa de agregación o una expresión de agregación:

• Operadores del query compatibles

• Operadores de actualización compatibles

• Expresiones de agregación admitidas

• Etapas admitidas de agregación

Los siguientes comandos no requieren cifrado automático. Los controladores compatibles oficiales de MongoDB 4.2+ configurados para cifrado automático a nivel de campos del lado del cliente pasan estos comandos directamente al mongod:

• getMore [1]

• authenticate

• getnonce

• hello

• logout

• abortTransaction

• commitTransaction

• endSessions

• startSession

• create

• createIndexes

• drop

• dropDatabase

• dropIndexes

• killCursors

• listCollections

• listDatabases

• listIndexes

• renameCollection

• ping

Emitir cualquier otro comando a través de un controlador compatible con la versión 4.2+ configurado para el cifrado automático de datos a nivel de campo en el lado del cliente generará un error.

Operadores del query compatibles

Los controladores oficiales compatibles con 4.2+ configurados para el cifrado automático a nivel de campo del lado del cliente permiten los siguientes operadores de consulta cuando se emiten contra campos cifrados de forma determinista:

• $eq

• $ne

• $in

• $nin

• $and

• $or

• $not

• $nor

Las queries que comparan un campo cifrado con null o una expresión regular siempre generan un error incluso si se utiliza un operador del query compatible. Las consultas que emiten estos operadores contra un campo cifrado aleatoriamente aleatoriamente generan un error.

El operador $exists tiene un comportamiento normal cuando se ejecuta tanto en campos cifrados determinísticamente como de manera aleatoria.

Las queries que especifican cualquier otro operador del query contra un campo cifrado devuelven un error.

Los siguientes operadores de consulta generan un error incluso si no se emiten contra un campo cifrado:

• $text

• $where

• $jsonSchema

Operadores de actualización compatibles

Los drivers oficiales compatibles con la versión 4.2 y posteriores, configurados para el cifrado a nivel de campo del lado del cliente, permiten los siguientes operadores de actualización cuando se aplican a campos cifrados determinísticamente:

• $set

• $unset

• $rename

Para las operaciones de actualización que utilizan el $rename operador en campos cifrados, asegúrese de que el esquema JSON automático especifique los mismos metadatos de cifrado para los nombres de los campos de origen y destino.

Las actualizaciones que especifican cualquier otro operador de actualización contra un campo cifrado devuelven un error.

Las operaciones de actualización con el siguiente comportamiento arrojan un error incluso si se utiliza un operador compatible:

• La operación de actualización produce un arreglo dentro de una ruta cifrada.

• La operación de actualización utiliza la sintaxis de la expresión de agregación.

Para las operaciones de actualización que especifican un filtro de consulta en campos cifrados de forma determinista, el filtro de consulta debe usar solo operadores admitidos en esos campos.

Operaciones de inserción no admitidas

Los drivers oficiales compatibles de MongoDB 4.2+ configurados para el cifrado automático del lado del cliente a nivel de campo no admiten comandos de inserción con el siguiente comportamiento:

• Insertando un documento con Timestamp(0,0) asociado a un campo cifrado. El (0,0) valor indica que mongod debe generar la marca de tiempo. Dado mongod que no puede generar campos cifrados, la marca de tiempo resultante no estaría cifrada.

• Insertar un documento sin un campo cifrado _id si el esquema automático configurado especifica un _id campo cifrado. Dado que genera mongod automáticamente un ObjectId sin cifrar, omitir _id en los documentos genera documentos que no cumplen con las reglas de cifrado automático.

• Insertar un documento con un arreglo asociado a un campo cifrado determinísticamente. El cifrado automático del lado del cliente a nivel de campo no admite el cifrado determinista de arreglos.

Etapas admitidas de agregación

Los controladores oficiales compatibles con MongoDB 4.2+ configurados para el cifrado automático a nivel de campo del lado del cliente admiten las siguientes etapas de la canalización de agregación:

• $limit

• $match

• $group (ver Comportamiento de$group para los requisitos de uso.)

• $sample

• $skip

• $sort

• $project

• $addFields

• $geoNear

• $collStats

• $indexStats

• $bucket

• $bucketAuto

• $unwind

• $sortByCount

• $count

• $replaceRoot

• $redact

• $lookup y $graphLookup (Consulte $lookup y $graphLookup Comportamiento para los requisitos de uso)

Los pipelines de agregación que operan en colecciones configuradas para el cifrado automático que especifican cualquier otra fase devuelven un error.

Para cada etapa de la canalización compatible, MongoDB rastrea los campos que deben cifrarse a medida que pasan por las canalizaciones compatibles y los marca para su cifrado.

Cada etapa admitida debe especificar solo los operadores del query admitidos y las expresiones de agregaciónadmitidas.

$addFields : {
  "valueWithUnknownEncryption" : {
    $cond : {
      if : { "$encryptedField" : "value" },
      then : "$encryptedField",
      else: "unencryptedValue"
    }
  }
},
{
  $match : {
    "valueWithUnknownEncryption" : "someNewValue"
  }
}

{
  $eq : [
    {"newField" : "$encryptedField"},
    {"newField" : "value"
  ]
}

{ $eq : [ "$prefixOfEncryptedField" , "value"] }

{
  $eq : [
      "$encryptedField" ,
      { $ne : [ "field", "value" ] }
  ]
}

{
  $let: {
    "vars" : {
      "newVariable" : "$encryptedField"
    }
  }
}

{
  $in : [
    "$encryptedField" ,
    "$otherEncryptedField"
  ]
}

Tipos de campos no soportados

Los controladores oficiales compatibles con MongoDB 4.2+ configurados para cifrado automático a nivel de campo del lado del cliente no admiten ninguna operación de lectura ni escritura que requiera el cifrado de los siguientes tipos de valores:

• MaxKey

• MinKey

• null

• undefined

El cifrado no oculta adecuadamente la información de tipo para estos valores.

El cifrado automático a nivel de campo tampoco permite operaciones de lectura o escritura en un campo deterministamente donde la operación compara el campo cifrado con los siguientes tipos de valor:

• double

• decimal128

• bool

• object