Llaves y bóvedas de claves

Overview

En esta guía, puede obtener información detallada sobre los siguientes componentes del cifrado de nivel de campo del lado del cliente (CSFLE):

• Claves de cifrado de datos (DEK)s

• Llaves maestras del cliente (CMK)

• Colecciones de Bóvedas de Llaves

• Sistemade gestión de claves (KMS)

Para consultar guías paso a paso que demuestren cómo utilizar los componentes anteriores para configurar un cliente habilitado con CSFLE, consulta los siguientes recursos:

• Inicio rápido

• Tutorials

Keys

Su clavede cifrado de datos (DEK) es la clave que MongoDB utiliza para cifrar los campos de sus documentos. Almacene su DEK en un documento de la colección Key Vault, cifrada con su clave maestra de cliente(CMK).

Su Clave Maestra de Cliente (CMK) es la clave que MongoDB utiliza para cifrar sus Claves de Cifrado de Datos (DEK) durante la creación. Sin acceso a una CMK, su aplicación cliente no puede descifrar las DEK asociadas.

Si elimina una DEK, todos los campos cifrados con ella se vuelven ilegibles permanentemente. Si elimina una CMK, todos los campos cifrados con una DEK que la utilice se vuelven ilegibles permanentemente.

Para ver diagramas que detallan cómo interactúan su colección DEK, CMK y Key Vault en todas las arquitecturas de proveedores de KMS compatibles, consulte Proveedores de KMS de CSFLE.

Colecciones de Key Vault

Su colección Key Vault es la colección de MongoDB que utiliza para almacenar documentos de clave de cifrado de datos(DEK) cifrados. Los documentosDEK son documentos BSON que contienen DEK y tienen la siguiente estructura:

{
  "_id" : UUID(<string>),
  "status" : <int>,
  "masterKey" : {<object>},
  "updateDate" : ISODate(<string>),
  "keyMaterial" : BinData(0,<string>),
  "creationDate" : ISODate(<string>),
  "keyAltNames" : <array>
}

Crea tu colección de Key Vault como lo harías con una colección estándar de MongoDB. Tu colección de Key Vault debe tener un índice único en el keyAltNames Campo. Para comprobar si existe el índice único, ejecute el comando en la colección de Key listIndexes Vault:

1
db.runCommand({
2
   listIndexes: "__keyVault",
3
});

1
{
2
   cursor: {
3
      id: Long("0"),
4
      ns: 'encryption.__keyVault',
5
      firstBatch: [
6
         { v: 2, key: { _id: 1 }, name: '_id_' }
7
         ]
8
   },
9
   ok: 1,
10
}

Si el índice único no existe, su aplicación debe crearlo antes de realizar la administración de DEK.

Para aprender a crear una colección MongoDB, consulte Bases de datos y colecciones.