Operaciones admitidas para cifrado automático

Comandos de lectura y escritura admitidos

Los controladores que utilizan cifrado automático a nivel de campo del lado del cliente admiten los siguientes comandos:

• aggregate

• count

• delete

• distinct

• explain

• find

• findAndModify

• insert

• update

Para cualquier comando compatible, los controladores devuelven un error si el comando utiliza un operador, una etapa o una expresión de agregación no compatibles. Para obtener una lista completa de los operadores, etapas y expresiones compatibles, consulte las siguientes secciones de esta página:

• Operadores de consulta admitidos

• Operadores de actualización compatibles

• Etapas admitidas de agregación

• Expresiones de agregación admitidas

Los siguientes comandos no requieren cifrado automático. Los controladores configurados para el cifrado automático a nivel de campo del lado del mongod cliente pasan estos comandos directamente a:

• getMore [1]

• authenticate

• getnonce

• hello

• logout

• abortTransaction

• commitTransaction

• endSessions

• startSession

• create

• createIndexes

• drop

• dropDatabase

• dropIndexes

• killCursors

• listCollections

• listDatabases

• listIndexes

• renameCollection

• ping

Emitir cualquier otro comando a través de un driver configurado para el cifrado automático del lado del cliente a nivel de campo devuelve un error.

Operadores de consulta admitidos

Los controladores configurados para el cifrado automático a nivel de campo del lado del cliente permiten los siguientes operadores de consulta cuando se emiten contra campos cifrados de forma determinista:

• $eq

• $ne

• $in

• $nin

• $and

• $or

• $not

• $nor

Las consultas que comparan un campo cifrado con null o una expresión regular siempre devuelven un error, incluso al usar un operador de consulta compatible. Las consultas que utilizan estos operadores contra un campo cifrado aleatoriamente devuelven un error.

El $exists operador tiene un comportamiento normal cuando se emite contra campos cifrados de forma determinista y aleatoria.

Las consultas que especifican cualquier otro operador de consulta contra un campo cifrado devuelven un error.

Los siguientes operadores de consulta devuelven un error incluso si no se emiten contra un campo cifrado:

• $text

• $where

• $jsonSchema

Operaciones de inserción no admitidas

Los controladores configurados para el cifrado automático a nivel de campo del lado del cliente no admiten comandos de inserción con el siguiente comportamiento:

• Insertar un documento con Timestamp(0,0) asociado a un campo cifrado. El (0,0) valor indica que debe generar la mongod mongod marca de tiempo. Si no puede generar campos cifrados, la marca de tiempo resultante no está cifrada.

• Insertar un documento sin un campo cifrado _id si el esquema automático configurado especifica un _id campo cifrado. Cuando el campo genera mongod automáticamente un ObjectId sin cifrar, omitir _id de los documentos da como resultado documentos que no cumplen con las reglas de cifrado automático.

• Insertar un documento con una matriz asociada a un campo cifrado deterministamente. El cifrado automático a nivel de campo del lado del cliente no admite matrices cifradas deterministamente.

Operadores de actualización compatibles

Los controladores configurados para el cifrado automático a nivel de campo del lado del cliente permiten los siguientes operadores de actualización cuando se emiten contra campos cifrados de forma determinista:

• $set

• $unset

• $rename

Cuando se utiliza el operador en campos cifrados, el esquema JSON automático debe especificar los mismos metadatos de cifrado para los nombres de los campos de origen y de $rename destino.

Las actualizaciones que especifican cualquier otro operador de actualización contra un campo cifrado devuelven un error.

Las operaciones de actualización con el siguiente comportamiento devuelven un error incluso si se utiliza un operador compatible:

• La operación de actualización produce una matriz dentro de una ruta cifrada.

• La operación de actualización utiliza la sintaxis de expresión de agregación.

Para las operaciones de actualización que especifican un filtro de query en campos cifrados determinísticamente, el filtro de consulta debe utilizar solo operadores compatibles en esos campos.

Etapas admitidas de agregación

Los Drivers configurados para el cifrado a nivel de campo del lado del cliente soportan automáticamente las siguientes etapas del pipeline de agregación:

• $addFields

• $bucket

• $bucketAuto

• $collStats

• $count

• $geoNear

• $group (Para conocer los requisitos de uso, consulte $group Comportamiento)

• $indexStats

• $limit

• $lookup y (Para conocer los requisitos de uso, consulte $graphLookup Comportamiento $lookup $graphLookup y)

• $match

• $project

• $redact

• $replaceRoot

• $sample

• $skip

• $sort

• $sortByCount

• $unwind

Las canalizaciones que operan en colecciones configuradas para cifrado automático que especifican cualquier otra etapa devuelven un error.

Para cada etapa de la canalización compatible, MongoDB rastrea los campos que deben cifrarse a medida que pasan por las canalizaciones compatibles y los marca para su cifrado.

Cada etapa compatible debe especificar únicamente los operadores de consulta y expresiones de agregación admitidos.

$addFields : {
  "valueWithUnknownEncryption" : {
    $cond : {
      if : { "$encryptedField" : "value" },
      then : "$encryptedField",
      else: "unencryptedValue"
    }
  }
},
{
  $match : {
    "valueWithUnknownEncryption" : "someNewValue"
  }
}

{
  $eq : [
    {"newField" : "$encryptedField"},
    {"newField" : "value"
  ]
}

{ $eq : [ "$prefixOfEncryptedField" , "value"] }

{
  $eq : [
      "$encryptedField" ,
      { $ne : [ "field", "value" ] }
  ]
}

{
  $let: {
    "vars" : {
      "newVariable" : "$encryptedField"
    }
  }
}

{
  $in : [
    "$encryptedField" ,
    "$otherEncryptedField"
  ]
}

Tipos de campos no admitidos

Los controladores configurados para el cifrado de nivel de campo del lado del cliente (CSFLE) automático no admiten ninguna operación de lectura o escritura que requiera cifrar los siguientes tipos de valores:

• MaxKey

• MinKey

• null

• undefined

El cifrado no oculta adecuadamente la información de tipo para estos valores.

CSFLE automático tampoco admite operaciones de lectura o escritura en un campo cifrado de forma determinista donde la operación compara el campo cifrado con los siguientes tipos de valores:

• array

• bool

• decimal128

• double

• object