Queryable Encryption がサポートする操作

を使用する操作 BinData

MongoDBはQueryable Encryptionで暗号化されたフィールドをBinData shell として保存します。 暗号化されたBinData値に対して発行された読み取りおよび書込み操作は、復号化された値に対して同じ操作を発行した場合と比較して、予期しない動作や誤った動作を引き起こす可能性があります。 特定の操作は厳格なBSONタイプのサポートがあり、 BinData値に対して発行するとエラーが返されます。

Queryable Encryptionと互換性のある公式の ドライバー は、 BinData値をサポートしていない演算子または式の読み取り操作と書込み操作を解析します。

BSON types

フィールドに対して暗号化できるBSON typesは、そのフィールドのクエリタイプによって異なります。

Queryable Encryptionでは、以下の queryType: "equality"例外 を除き、すべての BSON types に対して 設定 を行うことができます。

• array

• decimal: 10進数（IEEE 754 10進128 ）

• double: double （IEEE 754Binary64）

• object

Queryable Encryptionでは、次の queryType: "range"BSON types に対して を 構成 できます。

• date: UTC 日時（Int 64 ）

• decimal: 10進数（IEEE 754 10進128 ）

• double: double （IEEE 754Binary64）

• int: 32ビット整数

• long: 64ビット整数

Queryable Encryptionは、string BSON型のみに対して設定queryType: "prefix"、queryType: "suffix"、およびqueryType: "substring"をサポートしています。

queryType: "none" を設定した場合、MongoDB はフィールドを暗号化しますが、クエリ可能にはしません。Queryable Encryptionは、以下にリストされているqueryType: "none" サポートされていないBSON types （array や を含む）を 除く 、すべての BSON types のobject をサポートしています。

CRUD

• Queryable Encryptionは、 マルチドキュメントのアップデートまたは削除操作をサポートしていません。 複数のアップデートまたは削除操作を持つdb.collection.updateMany()とdb.collection.bulkWrite()はサポートされていません。

• Queryable Encryption の一括書き込み操作では、1 つの名前空間のみを対象とできます。bulkWrite コマンドで nsInfo 内に複数の名前空間が指定されている場合、操作はエラーを返します。

• Queryable Encryption はdb.collection.findAndModify()引数を制限します。

  • fields は許可されていません

  • new は false である必要があります

• アップサート操作を実行すると、フィルター内の暗号化されたフィールドは挿入から除外されます。

サポートされている読み取りコマンドと書込みコマンド

Queryable Encryption 互換ドライバーは、次のコマンドによる自動暗号化をサポートします。

• aggregate

• bulkWrite

• count

• delete

• explain

• find

• findAndModify

• insert

• update

サポートされている コマンドのいずれでも、コマンドでサポートされていない演算子、集計ステージ、または集計式が使用されている場合、ドライバーはエラーを返します。 サポートされている演算子、ステージ、および式の完全なリストについては、次のセクションを参照してください。

• サポートされているクエリ演算子

• サポートされている更新演算子

• サポートされている集計ステージ

• サポートされている集計式

次のコマンドには自動暗号化は必要ありません。 自動暗号化用に構成されたドライバーは、これらのコマンドをmongodに直接渡します。

• getMore

  [1]

• authenticate

• hello

• logout

• abortTransaction

• commitTransaction

• endSessions

• startSession

• create

• createIndexes

• drop

• dropDatabase

• dropIndexes

• killCursors

• listCollections

• listDatabases

• listIndexes

• renameCollection

• ping

自動暗号化用に構成された互換性のあるドライバーを介して他のコマンドを発行すると、エラーが返されます。

サポートされているクエリタイプと演算子

自動暗号化用に構成されたドライバーは、 暗号化されたクエリ可能なフィールドに対して発行された場合、限定的なセットのクエリ演算子をサポートします。

サポートされているクエリタイプを使用して、暗号化されていないフィールドまたは暗号化されたフィールドをクエリすると、暗号化されたデータが返され、クライアントで復号化されます。

Queryable Encryption は現在、次のクエリ タイプをサポートしています。

• none

• equality

• range

• prefix

• suffix

• substring

クエリタイプが指定されていない場合、デフォルトは none になります。クエリタイプが none の場合、 MongoDB はフィールドを暗号化し、クライアントはそのフィールドをクエリできません。

{$expr: {$eq: ["$encrypted1", "plaintext_value"]}}

{$expr: {$eq: ["$encrypted1", "$encrypted2"]}}

queryType: "equality"に構成されたフィールドは次の式をサポートします。

• $eq

• $ne

• $in

• $nin

• $and

• $or

• $not

• $nor

• $expr

• $exists

範囲クエリは等価クエリを $lte と $gte に暗黙的に変換します。したがって、queryType: "range" に構成されたフィールドは、上記のすべての式と次の式をサポートします。

• $lt

• $lte

• $gt

• $gte

暗号化されたフィールドに対して他のクエリ演算子を指定するクエリでは、エラーが返されます。

サポートされている更新演算子

自動暗号化用に構成されたドライバーは、暗号化されたフィールドに対して発行された場合、次の更新演算子をサポートします。

• $set

• $unset

暗号化されたフィールドに対して他の更新演算子を指定した更新は、エラーを返します。

次の動作を持つ更新操作では、サポートされている演算子を使用している場合でも、エラーがスローされます。

• 更新操作により、暗号化された パス内に配列が生成されます。

• 更新操作では、 集計式の構文を使用します。

暗号化されたフィールドにクエリフィルターを指定するアップデート操作の場合、クエリフィルターはそれらのフィールドでサポートされている演算子のみを使用する必要があります。

置換スタイルの更新

置換スタイルの更新はサポートされていますが、置換ドキュメントの最上位の暗号化フィールド内にTimestamp(0,0)が含まれている場合は、Queryable Encryption がエラーになります。 (0,0)の値は、 mongodがタイムスタンプを生成する必要があることを示します。 mongodは暗号化されたフィールドを生成できません。

サポートされていない挿入操作

自動暗号化用に構成された互換性ドライバーは、次の動作を持つ挿入コマンドをサポートしていません。

• 暗号化されたフィールドに関連付けられたTimestamp(0,0)を持つドキュメントを挿入します。 (0,0)の値は、 mongodがタイムスタンプを生成する必要があることを示します。 mongodは暗号化されたフィールドを生成できないため、結果のタイムスタンプは暗号化されません。

サポートされていない集計ステージ

自動暗号化では、追加のコレクションからの読み取りやコレクションへの書込みを行う集計ステージはサポートされません。 これらのステージは次のとおりです。

• $out

• $merge

サポートされている集計ステージ

自動暗号化用に構成された互換性のあるドライバーは、次の集計パイプライン ステージをサポートします。

• $addFields

• $bucket

• $bucketAuto

• $collStats

• $count

• $geoNear

• $graphLookup （使用要件については、$lookup と $graphLookup の動作 を参照してください）

• $group 暗号化されていないフィールドの場合

• $indexStats

• $limit

• $lookup （使用要件については、$lookup と $graphLookup の動作 を参照してください）

• $match

• $project

• $redact

• $replaceRoot

• $sample

• $skip

• $sort

• $sortByCount

• $unwind

他のステージを指定する自動暗号化用に構成されたコレクションで動作する集計パイプラインでは、 エラーが返されます。

サポートされている各パイプライン ステージごとに、MongoDB はサポートされているパイプラインを通過するときに暗号化する必要があるフィールドを追跡し、それらを暗号化対象としてマークします。

サポートされている各ステージでは、サポートされているクエリ演算子と集計式 のみを指定する必要があります。

サポートされている集計式

自動暗号化用に構成された互換性のあるドライバーは、等価クエリ用に構成された暗号化されたフィールドに対して次の式をサポートします。

• $cond

• $eq

• $ifNull

• $in

• $let

• $literal

• $ne

• $switch

自動暗号化用に構成された互換性ドライバーは、prefix、suffix、または substring クエリ用に構成された暗号化されたフィールドに対して次の式をサポートします。

• $encStrStartsWith

• $encStrEndsWith

• $encStrContains

• $encStrNormalizedEq

暗号化されたフィールドに対して発行されると、他のすべての集計式はエラーを返します。

次の動作を持つ集計ステージでは、サポートされている集計式を使用している場合でも、エラーが返されます。

$addFields : {  "valueWithUnknownEncryption" : {    $cond : {      if : { "$encryptedField" : "value" },      then : "$encryptedField",      else: "unencryptedValue"    }  }},{  $match : {    "valueWithUnknownEncryption" : "someNewValue"  }}

{  $eq : [    {"newField" : "$encryptedField"},    {"newField" : "value"  ]}

{ $eq : [ "$prefixOfEncryptedField" , "value"] }

{  $eq : [      "$encryptedField" ,      { $ne : [ "field", "value" ] }  ]}

{  $let: {    "vars" : {      "newVariable" : "$encryptedField"    }  }}

{  $in : [    "$encryptedField" ,    "$otherEncryptedField"  ]}