フィールドレベルの暗号化

MongoDB EnterpriseまたはMongoDB Atlasクラスターを使用する場合は、mongosh を使用してQueryable Encryptionまたはクライアント側フィールドレベル暗号化を構成し、暗号化サポートに接続できます。 Queryable Encryptionと CSFLE はどちらも、フィールド値の暗号化と復号化をサポートするためにデータ暗号化キーを使用し、この暗号化のキーマテリアルを KMS（Key Management Service）に保存します。

mongosh は、 Queryable Encryptionと CSFLE で使用する次の KMS プロバイダーをサポートしています。

Amazon Web Services KMS
Azure Key Vault
Google Cloud Platform KMS
ローカルで管理されるキーファイル

データ暗号化キーの作成

次の手順では、mongosh を使用して、フィールドレベル暗号化のデータ暗号化キーを作成します。

以下のタブを使用して、配置に適したKMSを選択します。

`mongosh`shell を起動します。

--nodbオプションを使用して、実行中のデータベースに接続せずにmongoshセッションを作成します。

mongosh --nodb

暗号化構成を作成します。

Amazon Web Services KMSのクライアント側フィールドレベル暗号化を構成するには、 Amazon Web ServicesアクセスキーIDとそれに関連付けられたシークレットアクセスキーが必要です。 Amazon Web Servicesアクセスキーは、 KMSサービスに対するすべてのリストおよび読み取り権限を持つ IAM ユーザーに対応する必要があります。

mongoshでは、次の認証情報を含むクライアント側のフィールドレベル暗号化構成を保存するための新しいAutoEncryptionOpts変数が作成されます。

var autoEncryptionOpts = {
  "keyVaultNamespace" : "encryption.__dataKeys",
  "kmsProviders" : {
    "aws" : {
      "accessKeyId" : "YOUR_AWS_ACCESS_KEY_ID",
      "secretAccessKey" : "YOUR_AWS_SECRET_ACCESS_KEY"
    }
  }
}

必要に応じて、 YOUR_AWS_ACCESS_KEY_IDとYOUR_AWS_SECRET_ACCESS_KEYの値を入力します。

暗号化サポートで接続します。

mongoshでは、コンストラクターを使用して、ターゲットMongo() クラスターへのデータベース接続を確立します。 AutoEncryptionOptsドキュメントをコンストラクターの 2Mongo() 番目のパラメーターとして指定して、クライアント側のフィールドレベル暗号化の接続を構成します。

csfleDatabaseConnection = Mongo(
  "mongodb://replaceMe.example.net:27017/?replicaSet=myMongoCluster",
  autoEncryptionOpts
)

replaceMe.example.net URIを、ターゲットクラスターの接続stringに置き換えます。

キーヴォールトオブジェクトを作成します。

keyVaultシェルメソッドを使用してgetKeyVault() オブジェクトを作成します。

keyVault = csfleDatabaseConnection.getKeyVault();

暗号化キーを作成します。

シェルメソッドを使用してデータ暗号化のキーを作成します。createKey()

keyVault.createKey(
  "aws",
  { region: "regionname", key: "awsarn" },
  [ "keyAlternateName" ]
)

以下の条件に一致するもの。

構成された Amazon Web Services KMS を指定するには、最初のパラメータが"aws"である必要があります。
2 番目のパラメーターは、次の内容を含むドキュメントである必要があります。
- 接続しているAmazon Web Servicesのリージョン（例： us-west-2
- Amazon Web Services CMK への Amazon リソース番号（ARN）。
3keyAltNames つ目のパラメータは、データ暗号化のキーの 1 つ以上のgetKeyVault() の配列にすることができます。各キーの代替名は一意である必要があります。はkeyAltNames にユニークインデックスを作成し、フィールドに一意性を強制します（未作成の場合）。キーの代替名により、データ暗号化のキーを見つけやすくなります。

成功した場合、createKey() は新しいデータ暗号化のキーの UUID を返します。新しいデータ暗号化のキードキュメントをキーヴォールトから検索するには、次のいずれかを実行します。

getKey() を使用して、UUID で作成されたキーを取得するか、
getKeyByAltName()別名でキーを検索するには、を使用します（指定されている場合）。

`mongosh`shell を起動します。

--nodbオプションを使用して、実行中のデータベースに接続せずにmongoshセッションを作成します。

mongosh --nodb

暗号化構成を作成します。

Azure Key Vault のクライアント側フィールドレベル暗号化を構成するには、有効なテナント ID、クライアント ID、およびクライアントシークレットが必要です。

mongoshでは、次の認証情報を含むクライアント側のフィールドレベル暗号化構成を保存するための新しいAutoEncryptionOpts変数が作成されます。

var autoEncryptionOpts = {
  "keyVaultNamespace" : "encryption.__dataKeys",
  "kmsProviders" : {
    "azure" : {
      "tenantId" : "YOUR_TENANT_ID",
      "clientId" : "YOUR_CLIENT_ID",
      "clientSecret" : "YOUR_CLIENT_SECRET"
    }
  }
}

必要に応じて、 YOUR_TENANT_ID 、 YOUR_CLIENT_ID 、 YOUR_CLIENT_SECRETの値を入力します。

暗号化サポートで接続します。

csfleDatabaseConnection = Mongo(
  "mongodb://replaceMe.example.net:27017/?replicaSet=myMongoCluster",
  autoEncryptionOpts
)

replaceMe.example.net URIを、ターゲットクラスターの接続stringに置き換えます。

キーヴォールトオブジェクトを作成します。

keyVaultシェルメソッドを使用してgetKeyVault() オブジェクトを作成します。

keyVault = csfleDatabaseConnection.getKeyVault();

暗号化キーを作成します。

シェルメソッドを使用してデータ暗号化のキーを作成します。createKey()

keyVault.createKey(
  "azure",
  { keyName: "keyvaultname", keyVaultEndpoint: "endpointname" },
  [ "keyAlternateName" ]
)

以下の条件に一致するもの。

構成された Azure Key Vault を指定するには、最初のパラメータが"azure"である必要があります。
2 番目のパラメーターは、次の要素を含むドキュメントである必要があります。
- Azure Key Vault の名前
- 使用する Azure Key Vault の DNS 名（例: my-key-vault.vault.azure.net ）
3keyAltNames つ目のパラメータは、データ暗号化のキーの 1 つ以上のgetKeyVault() の配列にすることができます。各キーの代替名は一意である必要があります。はkeyAltNames にユニークインデックスを作成し、フィールドに一意性を強制します（未作成の場合）。キーの代替名により、データ暗号化のキーを見つけやすくなります。

getKey() を使用して、UUID で作成されたキーを取得するか、
getKeyByAltName()別名でキーを検索するには、を使用します（指定されている場合）。

`mongosh`shell を起動します。

--nodbオプションを使用して、実行中のデータベースに接続せずにmongoshセッションを作成します。

mongosh --nodb

暗号化構成を作成します。

GCP KMS のクライアント側フィールドレベル暗号化を構成するには、GCP メールとそれに関連付けられた秘密キーが必要です。

mongoshでは、次の認証情報を含むクライアント側のフィールドレベル暗号化構成を保存するための新しいAutoEncryptionOpts変数が作成されます。

var autoEncryptionOpts = {
  "keyVaultNamespace" : "encryption.__dataKeys",
  "kmsProviders" : {
    "gcp" : {
      "email" : "YOUR_GCP_EMAIL",
      "privateKey" : "YOUR_GCP_PRIVATEKEY"
    }
  }
}

必要に応じて、 YOUR_GCP_EMAILとYOUR_GCP_PRIVATEKEYの値を入力します。

暗号化サポートで接続します。

csfleDatabaseConnection = Mongo(
  "mongodb://replaceMe.example.net:27017/?replicaSet=myMongoCluster",
  autoEncryptionOpts
)

replaceMe.example.net URIを、ターゲットクラスターの接続stringに置き換えます。

キーヴォールトオブジェクトを作成します。

keyVaultシェルメソッドを使用してgetKeyVault() オブジェクトを作成します。

keyVault = csfleDatabaseConnection.getKeyVault();

暗号化キーを作成します。

シェルメソッドを使用してデータ暗号化のキーを作成します。createKey()

keyVault.createKey(
  "gcp",
  { projectId: "projectid",
    location: "locationname",
    keyRing: "keyringname",
    keyName: "keyname"
  },
  [ "keyAlternateName" ]
)

以下の条件に一致するもの。

構成されたを指定するには、最初のパラメータはである必要"gcp"Google Cloud PlatformKMS があります。
2 つ目のパラメーターは、次を含むドキュメントである必要があります:
- projectid は、GCP プロジェクトの名前です（例： my-project
- locationname は、KMS キーリングのロケーションです（例: global
- keyringname は、KMS キーリングの名前です（例： my-keyring
- keyname は、キーの名前です。
3keyAltNames つ目のパラメータは、データ暗号化のキーの 1 つ以上のgetKeyVault() の配列にすることができます。各キーの代替名は一意である必要があります。はkeyAltNames にユニークインデックスを作成し、フィールドに一意性を強制します（未作成の場合）。キーの代替名により、データ暗号化のキーを見つけやすくなります。

getKey() を使用して、UUID で作成されたキーを取得するか、
getKeyByAltName()別名でキーを検索するには、を使用します（指定されている場合）。

`mongosh`shell を起動します。

--nodbオプションを使用して、実行中のデータベースに接続せずにmongoshセッションを作成します。

mongosh --nodb

暗号化キーを生成します。

ローカルで管理されているキーに対してクライアント側のフィールドレベル暗号化を構成するには、基本的に64でエンコードされた96バイトの string を指定する必要があります。これらの要件に一致するキーを生成するには、 mongoshで次のコマンドを実行します。

crypto.randomBytes(96).toString('base64')

このキーは次のステップで必要になります。

暗号化構成を作成します。

mongoshでは、クライアント側のフィールドレベル暗号化構成を保存するための新しい AutoEncryptionOpts 変数が作成され、MY_LOCAL_KEY がステップで生成されたキーに置き換えられます。1

var autoEncryptionOpts = {
  "keyVaultNamespace" : "encryption.__dataKeys",
  "kmsProviders" : {
    "local" : {
      "key" : BinData(0, "MY_LOCAL_KEY")
    }
  }
}

暗号化サポートで接続します。

csfleDatabaseConnection = Mongo(
  "mongodb://replaceMe.example.net:27017/?replicaSet=myMongoCluster",
  autoEncryptionOpts
)

キーヴォールトオブジェクトを作成します。

keyVaultシェルメソッドを使用してgetKeyVault() オブジェクトを作成します。

keyVault = csfleDatabaseConnection.getKeyVault();

暗号化キーを作成します。

シェルメソッドを使用してデータ暗号化のキーを作成します。createKey()

keyVault.createKey(
  "local",
  [ "keyAlternateName" ]
)

以下の条件に一致するもの。

構成されたローカルマネージドキーを指定するには、最初のパラメータがlocalである必要があります。
2 keyAltNames番目のパラメータは、データ暗号化のキーの 1 つ以上のgetKeyVault() の配列にすることができます。各キーの代替名は一意である必要があります。はkeyAltNames にユニークインデックスを作成し、フィールドに一意性を強制します（未作成の場合）。キーの代替名により、データ暗号化のキーを見つけやすくなります。

getKey() を使用して、UUID で作成されたキーを取得するか、
getKeyByAltName()別名でキーを検索するには、を使用します（指定されている場合）。

Tip

戻る

集計パイプラインを実行する

スクリプトの書き込み (write)

フィールドレベルの暗号化

データ暗号化キーの作成

mongoshshell を起動します。

暗号化構成を作成します。

暗号化サポートで接続します。

キーヴォールト オブジェクトを作成します。

暗号化キーを作成します。

mongoshshell を起動します。

暗号化構成を作成します。

暗号化サポートで接続します。

キーヴォールト オブジェクトを作成します。

暗号化キーを作成します。

mongoshshell を起動します。

暗号化構成を作成します。

暗号化サポートで接続します。

キーヴォールト オブジェクトを作成します。

暗号化キーを作成します。

mongoshshell を起動します。

暗号化キーを生成します。

暗号化構成を作成します。

暗号化サポートで接続します。

キーヴォールト オブジェクトを作成します。

暗号化キーを作成します。

`mongosh`shell を起動します。

キーヴォールトオブジェクトを作成します。

`mongosh`shell を起動します。

キーヴォールトオブジェクトを作成します。

`mongosh`shell を起動します。

キーヴォールトオブジェクトを作成します。

`mongosh`shell を起動します。

キーヴォールトオブジェクトを作成します。