Queryable Encryption에 지원되는 작업

다음을 사용하는 작업 BinData

MongoDB는 Queryable Encryption으로 암호화된 필드를 BinData 블롭으로 저장합니다. 암호화된 BinData 값에 대해 실행된 읽기 및 쓰기 작업은 해독된 값에 대해 동일한 작업을 실행하는 것에 비해 예기치 않거나 부정확한 동작을 가질 수 있습니다. 특정 작업은 BinData 값에 대해 실행하면 오류가 반환되는 엄격한 BSON 유형 지원이 있습니다. Queryable Encryption과 호환되는 공식 드라이버는 BinData 값을 지원하지 않거나 BinData 값에 대해 실행될 때 비정상적인 동작을 보이는 연산자 또는 표현식에 대한 읽기 및 쓰기 작업을 구문 분석합니다.

명시적 암호화를 사용하는 애플리케이션은 이 페이지를 암호화된 필드에 읽기 및 쓰기 작업을 실행하기 위한 지침으로 사용할 수 있습니다.

지원되는 읽기 및 쓰기 명령

Queryable Encryption 호환 드라이버는 다음 명령을 사용하여 자동 암호화를 지원합니다.

• aggregate

• count

• delete

• explain

• find

• findAndModify

• insert

• update

지원되는 명령에 대해, 해당 명령이 지원되지 않는 연산자, 애그리게이션 단계 또는 애그리게이션 표현식을 사용하면 드라이버에서 오류를 반환합니다. 지원되는 연산자, 단계 및 표현식의 전체 목록은 다음 섹션을 참조하세요.

• 지원되는 쿼리 연산자

• 지원되는 업데이트 연산자

• 지원되는 집계 단계

• 지원되는 애그리게이션 표현식

다음 명령은 자동 암호화가 필요하지 않습니다. 자동 암호화를 위해 구성된 공식 드라이버는 이러한 명령을 mongod 에 직접 전달합니다.

• getMore [1]

• authenticate

• hello

• logout

• abortTransaction

• commitTransaction

• endSessions

• startSession

• create

• createIndexes

• drop

• dropDatabase

• dropIndexes

• killCursors

• listCollections

• listDatabases

• listIndexes

• renameCollection

• ping

자동 암호화를 위해 구성된 호환 드라이버를 통해 다른 명령을 실행하면 오류가 반환됩니다.

Queryable Encryption을 사용하는 샤드 클러스터 트랜잭션의 경우, readConcern 을 snapshot 로 설정해야 합니다.

지원되는 쿼리 연산자

자동 암호화되도록 구성된 드라이버는 암호화된 쿼리 가능 필드에 대해 실행될 때 다음 쿼리 연산자를 지원합니다.

• $eq

• $ne

• $in

• $nin

• $and

• $or

• $not

• $nor

{$expr: {$eq: ["$encrypted1", "$encrypted2"]}}

{$expr: {$eq: ["$encrypted1", "plaintext_value"]}}

암호화된 필드를 null 또는 정규 표현식과 비교하는 쿼리는 지원되는 쿼리 연산자를 사용하더라도 항상 오류를 발생시킵니다.

$exists 연산자는 암호화된 필드에 대해 실행될 때 정상적인 동작을 합니다.

암호화된 필드에 대해 다른 쿼리 연산자를 지정하는 쿼리는 오류를 반환합니다. 다음 쿼리 연산자는 Queryable Encryption용으로 구성된 MongoClient를 사용할 때 암호화된 필드에 대해 실행되지 않은 경우에도 오류를 발생시킵니다.

• $text

• $where

• $jsonSchema

지원되는 업데이트 연산자

자동 암호화하도록 구성된 드라이버는 암호화된 필드에 대해 실행될 때 다음 업데이트 연산자를 지원합니다.

• $set

• $unset

암호화된 필드에 대해 다른 업데이트 연산자를 지정하는 업데이트는 오류를 반환합니다.

지원되는 연산자를 사용하더라도 다음 동작이 있는 업데이트 작업은 오류를 발생시킵니다.

• 업데이트 작업은 암호화된 경로 내부에 배열을 생성합니다.

• 업데이트 작업은 애그리게이션 표현식 구문을 사용합니다.

암호화된 필드에 쿼리 필터 를 지정하는 업데이트 작업의 경우 쿼리 필터는 해당 필드에 지원되는 연산자 만 사용해야 합니다.

교체 스타일 업데이트

대체 스타일의 업데이트가 지원되지만, 대체 문서의 최상위 암호화된 필드 내에 Timestamp(0,0) 가 포함되어 있으면 Queryable Encryption 오류가 발생합니다. (0,0) 값은 mongod 에서 타임스탬프를 생성해야 함을 나타냅니다. mongod 은(는) 암호화된 필드를 생성할 수 없습니다.

지원되지 않는 삽입 작업

자동 암호화를 위해 구성된 호환 드라이버는 다음 동작이 포함된 삽입 명령을 지원하지 않습니다.

• 암호화된 필드에 연결된 Timestamp(0,0) 가 있는 문서를 삽입하는 중입니다. (0,0) 값은 mongod 에서 타임스탬프를 생성해야 함을 나타냅니다. mongod 는 암호화된 필드를 생성할 수 없으므로 결과 타임스탬프는 암호화되지 않습니다.

• 구성된 자동 스키마가 암호화된 _id 필드를 지정하는 경우 암호화된 _id 없이 문서를 삽입합니다. mongod 는 암호화되지 않은 ObjectId를 자동 생성하므로 문서에서 _id 를 생략하면 문서가 자동 암호화 규칙을 준수하지 않습니다.

지원되지 않는 애그리게이션 단계

자동 암호화는 추가 컬렉션에서 읽거나 쓰는 애그리게이션 단계를 지원하지 않습니다. 이러한 단계는 다음과 같습니다.

• $out

• $merge

지원되는 집계 단계

자동 암호화를 위해 구성된 호환 드라이버는 다음 집계 파이프라인 단계를 지원합니다.

• $addFields

• $bucket

• $bucketAuto

• $collStats

• $count

• $geoNear

• $group 암호화되지 않은 필드에서

• $indexStats

• $limit

• $lookup 및 $graphLookup (사용 요구 사항은 $lookup 및 $graphLookup 동작 참조)

• $match

• $project

• $redact

• $replaceRoot

• $sample

• $skip

• $sort

• $sortByCount

• $unwind

다른 단계를 지정하는 자동 암호화로 구성된 collection에서 작동하는 집계 파이프라인이 오류를 반환합니다.

지원되는 각 파이프라인 단계에 대해 MongoDB는 지원되는 파이프라인을 통과할 때 암호화 해야 하는 필드를 추적하고 암호화 표시를 합니다.

지원되는 각 단계에서는 지원되는 쿼리 연산자 와 애그리게이션 표현식만 지정해야 합니다.

지원되는 애그리게이션 표현식

자동 암호화를 위해 구성된 호환 드라이버는 모든 동일성 쿼리 유형으로 암호화된 필드에 대해 다음 표현식을 지원합니다.

• $cond

• $eq

• $ifNull

• $in

• $let

• $literal

• $ne

• $switch

다른 모든 애그리게이션 표현식은 암호화된 필드에 대해 실행되는 경우 오류를 반환합니다.

다음 동작을 가진 애그리게이션 단계는 지원되는 애그리게이션 표현식을 사용 하더라도 오류를 반환합니다.

$addFields : {
  "valueWithUnknownEncryption" : {
    $cond : {
      if : { "$encryptedField" : "value" },
      then : "$encryptedField",
      else: "unencryptedValue"
    }
  }
},
{
  $match : {
    "valueWithUnknownEncryption" : "someNewValue"
  }
}

{
  $eq : [
    {"newField" : "$encryptedField"},
    {"newField" : "value"
  ]
}

{ $eq : [ "$prefixOfEncryptedField" , "value"] }

{
  $eq : [
      "$encryptedField" ,
      { $ne : [ "field", "value" ] }
  ]
}

{
  $let: {
    "vars" : {
      "newVariable" : "$encryptedField"
    }
  }
}

{
  $in : [
    "$encryptedField" ,
    "$otherEncryptedField"
  ]
}

지원되지 않는 필드 유형

자동 암호화하도록 구성된 드라이버는 다음 값 유형을 암호화해야 하는 읽기 또는 쓰기 작업을 지원하지 않습니다 .

• MaxKey

• MinKey

• null

• undefined

Queryable Encryption은 이러한 값에 대한 유형 정보를 적절히 숨기지 않습니다.

Queryable Encryption은 암호화된 필드를 다음 값 유형과 비교하는 암호화된 필드에 대한 읽기 또는 쓰기 작업을 지원하지 않습니다.

• array

• decimal128

• double

• object