Cifrado de campos y capacidad de consulta

Overview

Aprende sobre los siguientes temas de Queryable Encryption:

• Consideraciones al habilitar consultas en un campo cifrado.

• Cómo especificar los campos para el cifrado.

• Cómo configurar un campo cifrado para que sea visible en las consultas.

• Tipos de query y cuáles puede utilizar en campos cifrados.

• Cómo optimizar el rendimiento de las consultas en campos cifrados.

Consideraciones al habilitar la consulta

Cuando usas Queryable Encryption, puedes elegir si hacer que un campo cifrado sea consultable. Si no necesitas realizar operaciones CRUD que requieran realizar una query en un campo cifrado, es posible que no necesites habilitar la query en ese campo. Aun así puedes recuperar el documento completo consultando otros campos que sean consultables o no estén cifrados.

Cuando se habilitan los campos cifrados para que sean consultables, Queryable Encryption crea un índice para cada campo cifrado, lo que puede hacer que las operaciones de guardar en ese campo sean más lentas. Cuando una operación de escritura actualiza un campo indexado, MongoDB también actualiza el índice relacionado.

Cuando se crea una colección cifrada, MongoDB crea dos colecciones de metadatos, lo que aumenta los requisitos de espacio de almacenamiento.

Especifique los campos para el cifrado

Con Queryable Encryption, puedes especificar qué campos quieres cifrar automáticamente en tu documento de MongoDB, utilizando un esquema de cifrado JSON. El esquema de cifrado define qué campos están cifrados y qué consultas están disponibles para esos campos.

Para especificar los campos para el cifrado y la consulta, cree un esquema de cifrado que incluya las siguientes propiedades:

{
   "firstName": "Jon",
   "lastName": "Snow",
   "patientId": 12345187,
   "address": "123 Cherry Ave",
   "medications": [
      "Adderall",
      "Lipitor"
   ],
   "patientInfo": {
      "ssn": "921-12-1234",
      "billing": {
            "type": "visa",
            "number": "1234-1234-1234-1234"
      }
   }
}

const encryptedFieldsObject = {
   fields: [
      {
         path: "patientId",
         keyId: "<unique data encryption key>",
         bsonType: "int"
      },
      {
         path: "patientInfo.ssn",
         keyId: "<unique data encryption key>",
         bsonType: "string"
      },
      {
         path: "medications",
         keyId: "<unique data encryption key>",
         bsonType: "array"
      },
      {
         path: "patientInfo.billing",
         keyId: "<unique data encryption key>",
         bsonType: "object"
      }
   ]
}

Configurar campos para consultas

Incluye la propiedad queries en los campos para que sean consultables. Esto permite que un cliente autorizado emita consultas de lectura y escritura sobre esos campos. Omitir la propiedad queries impide que los clientes consulten un campo.

const encryptedFieldsObject = {
   fields: [
      {
         path: "patientId",
         bsonType: "int",
         queries: { queryType: "equality" }
      },
      {
         path: "patientInfo.ssn",
         bsonType: "string",
         queries: { queryType: "equality" }
      },
      {
         path: "medications",
         bsonType: "array"
      },
      {
         path: "patientInfo.billing",
         bsonType: "object"
      },
   ]
}

Contención

Las operaciones de escritura concurrentes, como insertar el mismo par de campo/valor en varios documentos en rápida sucesión, pueden provocar conflictos que retrasan las operaciones.

Con Queryable Encryption, MongoDB rastrea las ocurrencias de cada par campo/valor en una colección cifrada utilizando un contador interno. El factor de contención divide este contador, de manera similar a un arreglo. Esto minimiza los problemas al incrementar el contador al utilizar insert, update o findAndModify para añadir o modificar un campo cifrado con el mismo par campo/valor en sucesión cercana. contention = 0 crea un arreglo con un elemento en el índice 0. contention = 4 crea un arreglo con 5 elementos en los índices 0-4. MongoDB incrementa un elemento aleatorio del arreglo durante la inserción.

Cuando no se establece, contention se configura por defecto en 8, lo que proporciona un alto rendimiento para la mayoría de las cargas de trabajo. Una mayor contención mejora el rendimiento de las operaciones de inserción y actualización en campos de baja cardinalidad, pero disminuye el rendimiento de búsqueda.

Esquemas de clientes y servidores

MongoDB admite el uso de validación de esquema para aplicar el cifrado de campos específicos en una colección. Los clientes que usan Queryable Encryption automático tienen comportamientos específicos según la configuración de conexión de la base de datos:

• Si el objeto de conexión encryptedFieldsMap contiene una clave para la colección especificada, el cliente utiliza ese objeto para realizar el cifrado Queryable Encryption de forma automática, en vez de utilizar el esquema remoto. Como mínimo, las reglas locales deben cifrar aquellos campos que el esquema remoto marque como requeridos de cifrado.

• Si el encryptedFieldsMap objeto de conexión no contiene una clave para la colección especificada, el cliente descarga el esquema remoto del lado del servidor para la colección y lo utiliza para realizar el Queryable Encryption automático.

  Importante

  Consideraciones sobre el comportamiento

  Cuando un cliente no tiene un esquema de cifrado para la colección especificada, ocurre lo siguiente:

  • El cliente confía en que el servidor tiene un esquema válido en lo que respecta al cifrado autoconsultable (Queryable Encryption).

  • El cliente utiliza el esquema remoto para realizar únicamente Queryable Encryption automático. El cliente no aplica ninguna otra regla de validación especificada en el esquema.

Para aprender más sobre el automático Queryable Encryption, consulte los siguientes recursos:

• Queryable Encryption Introduction

• Inicio rápido de Queryable Encryption

Habilitar Queryable Encryption

Habilita Queryable Encryption antes de crear una colección. Activar el cifrado consultable después de crear una colección no cifra los campos de los documentos que ya están en esa colección. Puedes habilitar Queryable Encryption en campos de dos maneras:

• Pase el esquema de cifrado, representado por la constante encryptedFieldsObject, al cliente que la aplicación usa para crear la colección:

const client = new MongoClient(uri, {
   autoEncryption: {
      keyVaultNameSpace: "<your keyvault namespace>",
      kmsProviders: "<your kms provider>",
      extraOptions: {
         cryptSharedLibPath: "<path to Automatic Encryption Shared Library>"
      },
      encryptedFieldsMap: {
         "<databaseName.collectionName>": { encryptedFieldsObject }
      }
   }
   ...
   await client.db("<database name>").createCollection("<collection name>");
}

Para obtener más información sobre las opciones de configuración de autoEncryption, consulte la sección Opciones MongoClient para Queryable Encryption.

• Pasa el objeto de campos cifrados a createCollection() para crear una nueva colección:

await encryptedDB.createCollection("<collection name>", {
   encryptedFields: encryptedFieldsObject
});