自動暗号化ルール

encrypt Schema Keyword

"bsonType" : "object",
"properties" : {
  "<fieldName>" : {
    "encrypt" : {
      "algorithm" : "<string>",
      "bsonType" : "<string>" | [ "<string>" ],
      "keyId" : [ <UUID> ]
    }
  }
}

encrypt

オブジェクト

<fieldName>を暗号化する必要があることを示します。 encryptオブジェクトには次の要件があります。

• encrypt は、 <fieldName>オブジェクトに兄弟フィールドを含めることはできません。 encryptは、 <fieldName>オブジェクトの唯一の子である必要があります。

• encrypt cannot be specified within any subschema of the items or additionalItems keywords. 具体的には、クライアント側のフィールドレベルの自動暗号化では、配列の個々の要素の暗号化はサポートされていません。

encryptオブジェクトには次のフィールドのみを含めることができます。

• algorithm

• bsonType

• keyId

encryptオブジェクトに他のフィールドを含めると、自動暗号化された読み取りまたは書込み操作の発行時にエラーが発生します

keyIdまたはalgorithmが省略されている場合、自動暗号化共有ライブラリは親フィールドの完全なツリーをチェックし、オプションを指定する最も近いencryptMetadataオブジェクトからそれらのオプションを構築しようとします。 bsonTypeは継承できず、 の値によっては必須になる 場合algorithm があります。

自動暗号化共有ライブラリが、オブジェクトに指定されたフィールドと必要なencryptMetadata継承されたキーを使用して、完全なencryptオブジェクトを構築できない場合、自動暗号化は失敗し、エラーが返されます。

encrypt.algorithm

文字列

<fieldName>の値を暗号化するときに使用する暗号化アルゴリズムを示します。 次のアルゴリズムのみをサポートします 。

• AEAD_AES_256_CBC_HMAC_SHA_512-Random

• AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic

暗号化アルゴリズムに関する詳細なドキュメントについては、「暗号化アルゴリズム 」を参照してください。

省略した場合、自動暗号化共有ライブラリは、最も近いencryptMetadata.algorithmキーの親フィールドの完全なツリーを確認し、その値を継承します。 親algorithmが存在しない場合、自動フィールドレベル暗号化は失敗し、エラーが返されます。

• encrypt.algorithmまたはその継承値がAEAD_AES_256_CBC_HMAC_SHA_512-Deterministic の場合、encrypt オブジェクトには フィールド が必要 encrypt.bsonTypeです。

• encrypt.algorithmまたはその継承値がAEAD_AES_256_CBC_HMAC_SHA_512-Random の場合、encrypt オブジェクトには フィールドencrypt.bsonType が含まれる可能性が あります。

encrypt.bsonType

string |文字列の配列

暗号化されるフィールドのBSON type 。 encrypt.algorithmがAEAD_AES_256_CBC_HMAC_SHA_512-Deterministicの場合は必須です。

encrypt.algorithmまたはその継承値がAEAD_AES_256_CBC_HMAC_SHA_512-Deterministicの場合、 bsonTypeは単一の型 を指定する必要があります。 は、決定的な暗号化アルゴリズムを持つ次のbsonType のいずれもサポートしていませ ん 。BSON types

• double

• decimal128

• bool

• object

• array

encrypt.algorithmまたはその継承値が AED_AES_256_CBC_HMAC_SHA_512-Random の場合、bsonType は任意であり、サポートされているBSON typesの配列を指定できます。 arrayまたはobjectのbsonTypeを持つフィールドの場合、クライアントは配列またはオブジェクト全体ではなく、個々の要素ではなく、配列またはオブジェクト全体を暗号化します。

encrypt.bsonType は、 encrypt.algorithmまたはその継承値に関係なく、次のタイプをサポートしていませ ん 。

• minKey

• maxKey

• null

• undefined

encrypt.keyId

単一 UUID の配列

フィールド値の暗号化に使用するデータ暗号化のキーの UUID 。UUID は、サブタイプ のBSONバイナリ データ要素です。4

配列内に1 つのstringを指定します。

省略した場合、自動暗号化共有ライブラリは、最も近いencryptMetadata.keyIdキーの親フィールドの完全なツリーをチェックし、その値を継承します。 親keyIdが存在しない場合、自動フィールドレベル暗号化は失敗し、エラーが返されます。

keyIdまたはその継承値は、 自動暗号化 構成オプション の一部として指定されたキーヴォールトに存在する 必要 があります。指定されたデータ暗号化キーが存在しない場合、自動暗号化は失敗します。

公式 MongoDB ドライバーには、UUID を指定するための言語固有の要件があります。 クライアント側のフィールドレベル暗号化の実装に関する完全なドキュメントについては、ドライバーのドキュメント を参照してください。

encryptMetadata Schema Keyword

{
  "bsonType" : "object",
  "encryptMetadata" : {
    "algorithm" : "<string>",
    "keyId" : [ <UUID> ]
  },
  "properties" : {
    "encrypt" : {}
  }
}

encryptMetadata

オブジェクト

存在のpropertiesにネストされたencryptオブジェクトが継承できる暗号化オプションを定義します。 encryptに暗号化をサポートするために必要なオプションがない場合、自動暗号化共有ライブラリは親オブジェクトのツリー全体を検索して、欠落しているオプションを指定するencryptMetadataオブジェクトを見つけます。

encryptMetadata は、 bsonType: "object"を使用してサブスキーマで指定する必要があります。 encryptMetadataは、 itemsまたはadditionalItemsキーワードのサブスキーマには指定できません。 具体的には、クライアント側のフィールドレベルの自動暗号化では、配列の個々の要素の暗号化はサポートされていません。

encryptMetadataオブジェクトには次のフィールドのみを含めることができます。 encryptオブジェクトに他のフィールドを含めると、自動暗号化された読み取りまたは書込み操作を発行するときにエラーが発生します。

• algorithm

• keyId

encryptMetadata.algorithm

文字列

特定のフィールドを暗号化するために使用する暗号化アルゴリズム。 encryptオブジェクトにalgorithm フィールドがない場合、自動暗号化共有ライブラリは親オブジェクトのツリー全体を検索して、 を指定するencryptMetadata encryptMetadata.algorithmオブジェクトを見つけます。

次のアルゴリズムのみをサポートします 。

• AEAD_AES_256_CBC_HMAC_SHA_512-Random

• AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic

暗号化アルゴリズムに関する詳細なドキュメントについては、「暗号化アルゴリズム 」を参照してください。

AEAD_AES_256_CBC_HMAC_SHA_512-Deterministicencryptを指定する場合、その値を継承する オブジェクトは を指定する 必要がありencrypt.bsonType ます。

encryptMetadata.keyId

単一 UUID の配列

データ暗号化のキーの UUID 。UUID は、サブタイプ のBSONバイナリ データ要素です。4

配列内に1 つのstringを指定します。

encryptオブジェクトにkeyId フィールドがない場合、自動暗号化共有ライブラリは親オブジェクトのツリー全体を検索して、 を指定するencryptMetadata encryptMetadata.keyIdオブジェクトを見つけます。

データ暗号化キーは、 自動暗号化 構成オプション の一部として指定されたキーヴォールト内に存在する 必要 があります。KMS指定された構成オプションには、データキーの作成に使用される （KMS ） と CMK（Customer Master Key）への適切なアクセス権 も 含める必要があります。データ暗号化キーが存在しない場合、またはクライアントが指定された KMS および CMK でキーを復号化できない場合、自動暗号化は失敗します。

公式 MongoDB ドライバーには、UUID を指定するための言語固有の要件があります。 クライアント側のフィールドレベル暗号化の実装に関する完全なドキュメントについては、ドライバーのドキュメント を参照してください。

例

• 複数のフィールドの自動暗号化

• 継承を持つ複数のフィールドの自動暗号化

{
  "fname" : "<String>",
  "lname" : "<String>",
  "passportId" : "<String>",
  "bloodType" : "<String>",
  "medicalRecords" : [
    {<object>}
  ],
  "insurance" : {
    "policyNumber" : "<string>",
    "provider" : "<string>"
  }
}

{
  "MedCo.patients" : {
    "bsonType" : "object",
    "properties" : {
      "passportId" : {
        "encrypt" : {
          "keyId" : [UUID("bffb361b-30d3-42c0-b7a4-d24a272b72e3")],
          "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
          "bsonType" : "string"
        }
      },
      "bloodType" : {
        "encrypt" : {
          "keyId" : [UUID("bffb361b-30d3-42c0-b7a4-d24a272b72e3")],
          "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
          "bsonType" : "string"
        }
      },
      "medicalRecords" : {
        "encrypt" : {
          "keyId" : [UUID("f3821212-e697-4d65-b740-4a6791697c6d")],
          "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Random",
          "bsonType" : "array"
        }
      },
      "insurance" : {
        "bsonType" : "object",
        "properties" : {
          "policyNumber" : {
            "encrypt" : {
              "keyId" : [UUID("bffb361b-30d3-42c0-b7a4-d24a272b72e3")],
              "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
              "bsonType" : "string"
            }
          },
          "provider" : {
            "encrypt" : {
              "keyId" : [UUID("bffb361b-30d3-42c0-b7a4-d24a272b72e3")],
              "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
              "bsonType" : "string"
            }
          }
        }
      }
    }
  }
}

{
  "fname" : "<String>",
  "lname" : "<String>",
  "passportId" : "<String>",
  "bloodType" : "<String>",
  "medicalRecords" : [
    {<object>}
  ],
  "insurance" : {
    "policyNumber" : "<string>",
    "provider" : "<string>"
  }
}

{
  "MedCo.patients" : {
    "bsonType" : "object",
    "encryptMetadata" : {
      "keyId" : [UUID("6c512f5e-09bc-434f-b6db-c42eee30c6b1")],
      "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic"
    },
    "properties" : {
      "passportId" : {
        "encrypt" : {
          "bsonType" : "string"
        }
      },
      "bloodType" : {
        "encrypt" : {
          "bsonType" : "string"
        }
      },
      "medicalRecords" : {
        "encrypt" : {
          "keyId" : [UUID("6c512f5e-09bc-434f-b6db-c42eee30c6b1")],
          "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Random",
          "bsonType" : "array"
        }
      },
      "insurance" : {
        "bsonType" : "object",
        "properties" : {
          "policyNumber" : {
            "encrypt" : {
              "bsonType" : "string"
            }
          },
          "provider" : {
            "encrypt" : {
              "bsonType" : "string"
            }
          }
        }
      }
    }
  }
}