Operaciones compatibles para Queryable Encryption

Operaciones en curso BinData

MongoDB almacena los campos cifrados de Queryable Encryption como un blob BinData. Las operaciones de lectura y escritura realizadas sobre el valor cifrado BinData pueden tener un comportamiento inesperado o incorrecto en comparación con la realización de esa misma operación sobre el valor descifrado. Algunas operaciones tienen una estricta compatibilidad con el tipo BSON, por lo que ejecutarlas en un valor BinData genera un error. Los controladores oficiales compatibles con Queryable Encryption analizan las operaciones de lectura y escritura de operadores o expresiones que no admiten valores BinData, o que presentan un comportamiento anómalo cuando se utilizan con valores BinData.

Las aplicaciones que usan cifrado explícito pueden usar esta página como orientación para realizar operaciones de lectura y escritura en campos cifrados.

Comandos de lectura y escritura admitidos

Los controladores compatibles con cifrado consultable admiten el cifrado automático con los siguientes comandos:

• aggregate

• count

• delete

• explain

• find

• findAndModify

• insert

• update

Para cualquier comando admitido, los controladores devuelven un error si el comando utiliza un operador, una etapa de agregación o una expresión de agregación no compatible. Para ver una lista completa de los operadores, etapas y expresiones compatibles, consulta las siguientes secciones:

• Operadores del query compatibles

• Operadores de actualización compatibles

• Etapas admitidas de agregación

• Expresiones de agregación admitidas

Los siguientes comandos no requieren cifrado automático. Los drivers oficiales configurados para el cifrado automático pasan estos comandos directamente al mongod:

• getMore [1]

• authenticate

• hello

• logout

• abortTransaction

• commitTransaction

• endSessions

• startSession

• create

• createIndexes

• drop

• dropDatabase

• dropIndexes

• killCursors

• listCollections

• listDatabases

• listIndexes

• renameCollection

• ping

Emitir cualquier otro comando a través de un driver compatible configurado para cifrado automático genera un error.

Para las transacciones de clúster que utilizan Queryable Encryption, se debe establecer readConcern en snapshot.

Operadores del query compatibles

Los drivers configurados para el cifrado automático admiten los siguientes operadores del query cuando se emiten contra un campo consultable cifrado:

• $eq

• $ne

• $in

• $nin

• $and

• $or

• $not

• $nor

{$expr: {$eq: ["$encrypted1", "$encrypted2"]}}

{$expr: {$eq: ["$encrypted1", "plaintext_value"]}}

Las consultas que comparan un campo cifrado con null o una expresión regular siempre arrojan un error, incluso si se utiliza un operador del query compatible.

El operador tiene un comportamiento normal cuando se emite contra campos $exists cifrados.

Las queries que especifican cualquier otro operador del query en un campo cifrado arrojan un error. Los siguientes operadores del query lanzarán un error incluso si no se ejecutan contra un campo cifrado cuando se use un MongoClient configurado para Queryable Encryption:

• $text

• $where

• $jsonSchema

Operadores de actualización compatibles

Los controladores configurados para el cifrado automático admiten los siguientes operadores de actualización cuando se emiten contra campos cifrados:

• $set

• $unset

Las actualizaciones que especifican cualquier otro operador de actualización contra un campo cifrado devuelven un error.

Las operaciones de actualización con el siguiente comportamiento arrojan un error incluso si se utiliza un operador compatible:

• La operación de actualización produce un arreglo dentro de una ruta cifrada.

• La operación de actualización utiliza la sintaxis de la expresión de agregación.

Para las operaciones de actualización que especifiquen un filtro de query en campos cifrados, el filtro de query debe usar solo operadores admitidos en esos campos.

Actualizaciones de estilo reemplazo

Las actualizaciones de estilo reemplazo son compatibles, sin embargo, si el documento de reemplazo contiene un Timestamp(0,0) dentro de un campo cifrado de nivel superior, Queryable Encryption mostrará un error. El valor de (0,0) indica que el mongod debe generar la marca temporal. mongod no puede generar campos cifrados.

Operaciones de inserción no admitidas

Los drivers compatibles configurados para cifrado automático no soportan comandos de inserción con el siguiente comportamiento:

• Insertando un documento con Timestamp(0,0) asociado a un campo cifrado. El valor (0,0) indica que mongod debe generar la Marca de tiempo. Dado que el mongod no puede generar campos cifrados, la marca de tiempo resultante no estaría cifrada.

Etapas de agregación no compatibles

El cifrado automático no admitirá etapas de agregación que lean de o escriban en colecciones adicionales. Estas fases son:

• $out

• $merge

Etapas admitidas de agregación

Los drivers compatibles configurados para el cifrado automático soportan las siguientes etapas del pipeline de agregación:

• $addFields

• $bucket

• $bucketAuto

• $collStats

• $count

• $geoNear

• $group en campos no cifrados

• $indexStats

• $limit

• $lookup y $graphLookup (Para requisitos de uso, consulte $lookup y $graphLookup Comportamiento)

• $match

• $project

• $redact

• $replaceRoot

• $sample

• $skip

• $sort

• $sortByCount

• $unwind

Los pipelines de agregación que operan en colecciones configuradas para el cifrado automático que especifican cualquier otra fase devuelven un error.

Para cada etapa de la canalización compatible, MongoDB rastrea los campos que deben cifrarse a medida que pasan por las canalizaciones compatibles y los marca para su cifrado.

Cada etapa admitida debe especificar solo los operadores del query admitidos y las expresiones de agregaciónadmitidas.

Expresiones de agregación admitidas

Los drivers compatibles configurados para cifrado automático admiten las siguientes expresiones en cualquier tipo de campo cifrado de consulta de igualdad:

• $cond

• $eq

• $ifNull

• $in

• $let

• $literal

• $ne

• $switch

Todas las demás expresiones de agregación devuelven un error si se ejecutan sobre campos cifrados.

Las etapas de agregación con el siguiente comportamiento devuelven un error incluso si se utiliza una expresión de agregación compatible:

$addFields : {
  "valueWithUnknownEncryption" : {
    $cond : {
      if : { "$encryptedField" : "value" },
      then : "$encryptedField",
      else: "unencryptedValue"
    }
  }
},
{
  $match : {
    "valueWithUnknownEncryption" : "someNewValue"
  }
}

{
  $eq : [
    {"newField" : "$encryptedField"},
    {"newField" : "value"
  ]
}

{ $eq : [ "$prefixOfEncryptedField" , "value"] }

{
  $eq : [
      "$encryptedField" ,
      { $ne : [ "field", "value" ] }
  ]
}

{
  $let: {
    "vars" : {
      "newVariable" : "$encryptedField"
    }
  }
}

{
  $in : [
    "$encryptedField" ,
    "$otherEncryptedField"
  ]
}

Tipos de campos no soportados

Los controladores configurados para el cifrado automático no admiten ninguna operación de lectura ni escritura que requiera cifrar los siguientes tipos de valores:

• MaxKey

• MinKey

• null

• undefined

El Queryable Encryption no oculta adecuadamente la información de tipo de estos valores.

Queryable Encryption no admite operaciones de lectura ni escritura en un campo cifrado donde la operación compara el campo cifrado con los siguientes tipos de valores:

• array

• decimal128

• double

• object