Operaciones compatibles para Queryable Encryption

Operaciones usando BinData

MongoDB almacena los campos cifrados de Queryable Encryption como un BinData blob. Las operaciones de lectura y escritura emitidas contra el BinData valor cifrado pueden tener un comportamiento inesperado o incorrecto en comparación con la ejecución de la misma operación contra el valor descifrado. Ciertas operaciones tienen compatibilidad estricta con el tipo BSON, por lo que ejecutarlas contra un BinData valor devuelve un error. Los controladores oficiales compatibles con Queryable Encryption analizan las operaciones de lectura y escritura en busca de operadores o expresiones que no admiten BinData valores o que tienen un comportamiento anormal al ejecutarse contra BinData valores.

Las aplicaciones que utilizan cifrado explícito pueden usar esta página como guía para realizar operaciones de lectura y escritura en campos cifrados.

Comandos de lectura y escritura admitidos

Los controladores compatibles con cifrado consultable admiten el cifrado automático con los siguientes comandos:

• aggregate

• count

• delete

• explain

• find

• findAndModify

• insert

• update

Para cualquier comando admitido, los controladores devuelven un error si el comando utiliza un operador, una etapa de agregación o una expresión de agregación no compatible. Para ver una lista completa de los operadores, etapas y expresiones compatibles, consulta las siguientes secciones:

• Operadores de consulta admitidos

• Operadores de actualización compatibles

• Etapas admitidas de agregación

• Expresiones de agregación admitidas

Los siguientes comandos no requieren cifrado automático. Los controladores oficiales configurados para cifrado automático pasan estos comandos directamente mongod a:

• getMore [1]

• authenticate

• hello

• logout

• abortTransaction

• commitTransaction

• endSessions

• startSession

• create

• createIndexes

• drop

• dropDatabase

• dropIndexes

• killCursors

• listCollections

• listDatabases

• listIndexes

• renameCollection

• ping

Emitir cualquier otro comando a través de un controlador compatible configurado para el cifrado automático devuelve un error.

Para las transacciones de clúster fragmentadas que utilizan cifrado consultable, debe establecer readConcern snapshoten.

Operadores de consulta admitidos

Los drivers configurados para el cifrado automático admiten los siguientes operadores del query cuando se emiten contra un campo consultable cifrado:

• $eq

• $ne

• $in

• $nin

• $and

• $or

• $not

• $nor

{$expr: {$eq: ["$encrypted1", "$encrypted2"]}}

{$expr: {$eq: ["$encrypted1", "plaintext_value"]}}

Las consultas que comparan un campo cifrado con null o una expresión regular siempre arrojan un error, incluso si se utiliza un operador de consulta compatible.

El operador tiene un comportamiento normal cuando se emite contra campos $exists cifrados.

Las queries que especifican cualquier otro operador del query en un campo cifrado arrojan un error. Los siguientes operadores del query lanzarán un error incluso si no se ejecutan contra un campo cifrado cuando se use un MongoClient configurado para Queryable Encryption:

• $text

• $where

• $jsonSchema

Operadores de actualización compatibles

Los controladores configurados para el cifrado automático admiten los siguientes operadores de actualización cuando se emiten contra campos cifrados:

• $set

• $unset

Las actualizaciones que especifican cualquier otro operador de actualización contra un campo cifrado devuelven un error.

Las operaciones de actualización con el siguiente comportamiento arrojan un error incluso si se utiliza un operador compatible:

• La operación de actualización produce una matriz dentro de una ruta cifrada.

• La operación de actualización utiliza la sintaxis de expresión de agregación.

Para las operaciones de actualización que especifican un filtro de consulta en campos cifrados, el filtro de consulta debe utilizar únicamente operadores admitidos en esos campos.

Actualizaciones de estilo reemplazo

Se admiten actualizaciones de estilo de reemplazo; sin embargo, si el documento de reemplazo contiene un Timestamp(0,0) dentro de un campo cifrado de nivel superior, el cifrado consultable generará un error. El (0,0) valor indica que mongod debe generar la marcamongod de tiempo. no puede generar campos cifrados.

Operaciones de inserción no admitidas

Los controladores compatibles configurados para el cifrado automático no admiten comandos de inserción con el siguiente comportamiento:

• Insertando un documento con Timestamp(0,0) asociado a un campo cifrado. El (0,0) valor indica que mongod debe generar la marca de tiempo. Dado mongod que no puede generar campos cifrados, la marca de tiempo resultante no estaría cifrada.

Etapas de agregación no compatibles

El cifrado automático no admite etapas de agregación que lean o escriban en colecciones adicionales. Estas etapas son:

• $out

• $merge

Etapas admitidas de agregación

Los controladores compatibles configurados para el cifrado automático admiten las siguientes etapas del proceso de agregación:

• $addFields

• $bucket

• $bucketAuto

• $collStats

• $count

• $geoNear

• $group en campos no cifrados

• $indexStats

• $limit

• $lookup y (Para conocer los requisitos de uso, consulte $graphLookup Comportamiento $lookup $graphLookup y)

• $match

• $project

• $redact

• $replaceRoot

• $sample

• $skip

• $sort

• $sortByCount

• $unwind

Las canalizaciones de agregación que operan en colecciones configuradas para cifrado automático que especifican cualquier otra etapa devuelven un error.

Para cada etapa de la canalización compatible, MongoDB rastrea los campos que deben cifrarse a medida que pasan por las canalizaciones compatibles y los marca para su cifrado.

Cada etapa compatible debe especificar únicamente los operadores de consulta y expresiones de agregación admitidos.

Expresiones de agregación admitidas

Los drivers compatibles configurados para cifrado automático admiten las siguientes expresiones en cualquier tipo de campo cifrado de consulta de igualdad:

• $cond

• $eq

• $ifNull

• $in

• $let

• $literal

• $ne

• $switch

Todas las demás expresiones de agregación devuelven un error si se ejecutan sobre campos cifrados.

Las etapas de agregación con el siguiente comportamiento devuelven un error incluso si se utiliza una expresión de agregación compatible:

$addFields : {
  "valueWithUnknownEncryption" : {
    $cond : {
      if : { "$encryptedField" : "value" },
      then : "$encryptedField",
      else: "unencryptedValue"
    }
  }
},
{
  $match : {
    "valueWithUnknownEncryption" : "someNewValue"
  }
}

{
  $eq : [
    {"newField" : "$encryptedField"},
    {"newField" : "value"
  ]
}

{ $eq : [ "$prefixOfEncryptedField" , "value"] }

{
  $eq : [
      "$encryptedField" ,
      { $ne : [ "field", "value" ] }
  ]
}

{
  $let: {
    "vars" : {
      "newVariable" : "$encryptedField"
    }
  }
}

{
  $in : [
    "$encryptedField" ,
    "$otherEncryptedField"
  ]
}

Tipos de campos no admitidos

Los controladores configurados para el cifrado automático no admiten ninguna operación de lectura o escritura que requiera cifrar los siguientes tipos de valores:

• MaxKey

• MinKey

• null

• undefined

El cifrado consultable no oculta adecuadamente la información de tipo para estos valores.

El cifrado consultable no admite operaciones de lectura o escritura en un campo cifrado donde la operación compara el campo cifrado con los siguientes tipos de valores:

• array

• decimal128

• double

• object