Operaciones admitidas para cifrado automático

Comandos de lectura y guardado compatibles

Los controladores que utilizan cifrado a nivel de campo a nivel de cliente automático admiten los siguientes comandos:

• aggregate

• count

• delete

• distinct

• explain

• find

• findAndModify

• insert

• update

Para cualquier comando admitido, los drivers devuelven un error si el comando utiliza un operador, una etapa de agregación o una expresión de agregación no admitidos. Para obtener una lista completa de los operadores, etapas y expresiones admitidos, consulta las siguientes secciones de esta página:

• Operadores del query compatibles

• Operadores de actualización compatibles

• Etapas admitidas de agregación

• Expresiones de agregación admitidas

Los siguientes comandos no requieren cifrado automático. Los controladores configurados para el cifrado automático a nivel de campo del lado del cliente pasan estos comandos directamente al mongod:

• getMore [1]

• authenticate

• hello

• logout

• abortTransaction

• commitTransaction

• endSessions

• startSession

• create

• createIndexes

• drop

• dropDatabase

• dropIndexes

• killCursors

• listCollections

• listDatabases

• listIndexes

• renameCollection

• ping

Emitir cualquier otro comando a través de un driver configurado para el cifrado automático del lado del cliente a nivel de campo devuelve un error.

Operadores del query compatibles

Los drivers configurados para cifrado a nivel de campo en el lado del cliente automático permiten los siguientes operadores del query cuando se aplican en campos cifrados determinísticamente:

• $eq

• $ne

• $in

• $nin

• $and

• $or

• $not

• $nor

Los queries que comparan un campo cifrado con null o una expresión regular siempre devuelven un error, incluso al utilizar un operador del query compatible. Las solicitudes que emiten estos operadores contra un campo aleatoriamente cifrado devuelven un error.

El operador $exists tiene un comportamiento normal cuando se utiliza tanto en campos cifrados determinísticamente como aleatoriamente.

Las queries que especifican cualquier otro operador del query contra un campo cifrado devuelven un error.

Los siguientes operadores del query devuelven un error incluso si no se emiten en un campo cifrado:

• $text

• $where

• $jsonSchema

Operaciones de inserción no admitidas

Los drivers configurados para el cifrado a nivel de campo del lado del cliente no admiten comandos de inserción con el siguiente comportamiento:

• Insertando un documento con Timestamp(0,0) asociado a un campo cifrado. El valor (0,0) indica que mongod debe generar la Marca de tiempo. Cuando el mongod no puede generar campos cifrados, la marca de tiempo resultante no está cifrada.

• Insertar un documento sin un _id si el esquema automático configurado especifica un campo _id cifrado. Cuando el mongod genera automáticamente un ObjectId no cifrado, omitir _id de los documentos da como resultado que los documentos no cumplen con las reglas de cifrado automático.

• Insertar un documento con una matriz asociada a un campo cifrado de forma determinista. El cifrado automático del lado del cliente a nivel de campo no admite el cifrado determinista de arreglos.

Operadores de actualización compatibles

Los controladores configurados para el Cifrado Automático de Campo a Nivel de Cliente permiten los siguientes operadores de actualización cuando se aplican a campos cifrados determinísticamente:

• $set

• $unset

• $rename

Cuando utilices el operador $rename en campos cifrados, el esquema JSON automático debe especificar los mismos metadatos de cifrado para los nombres de los campos de origen y destino.

Las actualizaciones que especifiquen cualquier otro operador de actualización a un campo cifrado devuelven un error.

Las operaciones de actualización con el siguiente comportamiento devuelven un error incluso si se utiliza un operador compatible:

• La operación de actualización produce un arreglo dentro de una ruta cifrada.

• La operación de actualización utiliza la sintaxis de la expresión de agregación.

Para las operaciones de actualización que especifican un filtro de query en campos cifrados determinísticamente, el filtro de consulta debe utilizar solo operadores compatibles en esos campos.

Etapas admitidas de agregación

Los Drivers configurados para el cifrado a nivel de campo del lado del cliente soportan automáticamente las siguientes etapas del pipeline de agregación:

• $addFields

• $bucket

• $bucketAuto

• $collStats

• $count

• $geoNear

• $group (Para los requisitos de uso, ver $group Comportamiento)

• $indexStats

• $limit

• $lookup y $graphLookup (Para conocer los requisitos de uso, consulta $lookup y comportamiento de $graphLookup )

• $match

• $project

• $redact

• $replaceRoot

• $sample

• $skip

• $sort

• $sortByCount

• $unwind

Los pipelines que operan sobre colecciones configuradas para cifrado automático y que especifican cualquier otra etapa devolverán un error.

Para cada etapa de pipeline soportada, MongoDB rastrea los campos que deben estar cifrados a medida que pasan por los pipelines compatibles y los marca para cifrado.

Cada etapa admitida debe especificar solo los operadores del query admitidos y las expresiones de agregaciónadmitidas.

$addFields : {
  "valueWithUnknownEncryption" : {
    $cond : {
      if : { "$encryptedField" : "value" },
      then : "$encryptedField",
      else: "unencryptedValue"
    }
  }
},
{
  $match : {
    "valueWithUnknownEncryption" : "someNewValue"
  }
}

{
  $eq : [
    {"newField" : "$encryptedField"},
    {"newField" : "value"
  ]
}

{ $eq : [ "$prefixOfEncryptedField" , "value"] }

{
  $eq : [
      "$encryptedField" ,
      { $ne : [ "field", "value" ] }
  ]
}

{
  $let: {
    "vars" : {
      "newVariable" : "$encryptedField"
    }
  }
}

{
  $in : [
    "$encryptedField" ,
    "$otherEncryptedField"
  ]
}

Tipos de campos no soportados

Los drivers configurados para el cifrado automático del lado del cliente a nivel de campo (CSFLE) no admiten ninguna operación de lectura o guardado que requiera cifrar los siguientes tipos de valores:

• MaxKey

• MinKey

• null

• undefined

El cifrado no oculta adecuadamente la información de tipo para estos valores.

La CSFLE automática también no admite operaciones de lectura o escritura en un campo cifrado de forma determinística donde la operación compara el campo cifrado con los siguientes tipos de valores:

• array

• bool

• decimal128

• double

• object