자동 필드 레벨 암호화를 통한 읽기/쓰기 지원

지원되는 읽기 및 쓰기 명령

공식 MongoDB 4.2+ 호환 드라이버는 다음 명령을 사용하여 자동 클라이언트 사이드 필드 레벨 암호화 를 지원합니다.

• aggregate

• count

• delete

• distinct

• explain

• find

• findAndModify

• insert

• update

지원되는 명령에 대해 명령이 지원되지 않는 연산자, 애그리게이션 단계 또는 애그리게이션 표현식을 사용하는 경우 4.2+ 호환 드라이버에서 오류를 반환합니다.

• 지원되는 쿼리 연산자

• 지원되는 업데이트 연산자

• 지원되는 애그리게이션 표현식

• 지원되는 집계 단계

다음 명령은 자동 암호화가 필요하지 않습니다. 자동 클라이언트 사이드 필드 레벨 암호화를 위해 구성된 공식 MongoDB 4.2+ 호환 드라이버는 이러한 명령을 mongod 에 직접 전달합니다.

• getMore [1]

• authenticate

• getnonce

• hello

• logout

• abortTransaction

• commitTransaction

• endSessions

• startSession

• create

• createIndexes

• drop

• dropDatabase

• dropIndexes

• killCursors

• listCollections

• listDatabases

• listIndexes

• renameCollection

• ping

클라이언트 사이드 필드 수준 자동 암호화를 위해 구성된 4.2 이상 호환 드라이버를 통해 다른 명령 을 실행하면 오류가 반환됩니다.

지원되는 쿼리 연산자

자동 클라이언트 사이드 필드 수준 암호화를 위해 구성된 공식 4.2+ 호환 드라이버는 결정론적 으로 암호화된 필드에 대해 실행될 때 다음 쿼리 연산자를 허용합니다.

• $eq

• $ne

• $in

• $nin

• $and

• $or

• $not

• $nor

암호화된 필드를 null 또는 정규 표현식과 비교하는 쿼리는 지원되는 쿼리 연산자를 사용 하더라도 항상 오류를 발생시킵니다. 무작위로 암호화된 필드에 대해 이러한 연산자를 실행하는 쿼리는 오류를 발생시킵니다.

$exists 연산자는 결정론적으로 암호화된 필드와 무작위로 암호화된 필드 모두에 대해 실행될 때 정상적인 동작을 합니다.

암호화된 필드에 대해 다른 쿼리 연산자를 지정하는 쿼리는 오류를 반환합니다.

다음 쿼리 연산자는 암호화된 필드에 대해 실행되지 않은 경우에도 오류를 발생시킵니다.

• $text

• $where

• $jsonSchema

지원되는 업데이트 연산자

자동 클라이언트 사이드 필드 수준 암호화를 위해 구성된 공식 4.2+ 호환 드라이버는 결정론적 으로 암호화된 필드에 대해 실행될 때 다음과 같은 업데이트 연산자를 허용합니다.

• $set

• $unset

• $rename

암호화된 필드에 $rename 연산자를 사용하는 업데이트 작업의 경우 자동 JSON schema가 소스 및 대상 필드 이름에 대해 동일한 암호화 메타데이터를 지정하는지 확인합니다.

암호화된 필드에 대해 다른 업데이트 연산자를 지정하는 업데이트는 오류를 반환합니다.

지원되는 연산자를 사용 하더라도 다음 동작이 있는 업데이트 작업은 오류를 발생시킵니다.

• 업데이트 작업은 암호화된 경로 내부에 배열을 생성합니다.

• 업데이트 작업은 애그리게이션 표현식 구문을 사용합니다.

결정론적 으로 암호화된 필드에 쿼리 필터 를 지정하는 업데이트 작업의 경우 쿼리 필터는 해당 필드에 지원되는 연산자 만 사용해야 합니다.

지원되지 않는 삽입 작업

자동 클라이언트 사이드 필드 레벨 암호화 를 위해 구성된 공식 MongoDB 4.2+ 호환 드라이버는 다음 동작이 포함된 삽입 명령을 지원하지 않습니다 .

• 암호화된 필드에 연결된 Timestamp(0,0) 가 있는 문서를 삽입하는 중입니다. (0,0) 값은 mongod 에서 타임스탬프를 생성해야 함을 나타냅니다. mongod 는 암호화된 필드를 생성할 수 없으므로 결과 타임스탬프는 암호화되지 않습니다.

• 구성된 자동 스키마가 암호화된 _id 필드를 지정하는 경우 암호화된 _id 없이 문서를 삽입합니다. mongod 는 암호화되지 않은 ObjectId 를 자동 생성하므로 문서에서 _id 을 생략하면 자동 암호화 규칙을 준수하지 않는 문서가 생성됩니다.

• 결정론적 으로 암호화된 필드와 연결된 배열이 있는 문서 삽입. 자동 클라이언트 사이드 필드 수준 암호화는 결정론적으로 배열을 암호화하는 것을 지원하지 않습니다.

지원되는 집계 단계

자동 클라이언트 사이드 필드 레벨 암호화 를 위해 구성된 공식 MongoDB 4.2+ 호환 드라이버는 다음 집계 파이프라인 단계를 지원합니다.

• $limit

• $match

• $group (사용 요구 사항 은 $group 동작 참조)

• $sample

• $skip

• $sort

• $project

• $addFields

• $geoNear

• $collStats

• $indexStats

• $bucket

• $bucketAuto

• $unwind

• $sortByCount

• $count

• $replaceRoot

• $redact

• $lookup 및 $graphLookup (사용 요구 사항 은 $lookup 및 $graphLookup 동작 참조)

다른 단계를 지정하는 자동 암호화로 구성된 collection에서 작동하는 집계 파이프라인이 오류를 반환합니다.

지원되는 각 파이프라인 단계에 대해 MongoDB는 지원되는 파이프라인을 통과할 때 암호화 해야 하는 필드를 추적하고 암호화 표시를 합니다.

지원되는 각 단계에서는 지원되는 쿼리 연산자 와 애그리게이션 표현식만 지정해야 합니다.

$addFields : {
  "valueWithUnknownEncryption" : {
    $cond : {
      if : { "$encryptedField" : "value" },
      then : "$encryptedField",
      else: "unencryptedValue"
    }
  }
},
{
  $match : {
    "valueWithUnknownEncryption" : "someNewValue"
  }
}

{
  $eq : [
    {"newField" : "$encryptedField"},
    {"newField" : "value"
  ]
}

{ $eq : [ "$prefixOfEncryptedField" , "value"] }

{
  $eq : [
      "$encryptedField" ,
      { $ne : [ "field", "value" ] }
  ]
}

{
  $let: {
    "vars" : {
      "newVariable" : "$encryptedField"
    }
  }
}

{
  $in : [
    "$encryptedField" ,
    "$otherEncryptedField"
  ]
}

지원되지 않는 필드 유형

자동 클라이언트 사이드 필드 레벨 암호화 를 위해 구성된 공식 MongoDB 4.2+ 호환 드라이버는 다음 값 유형을 암호화해야 하는 읽기 또는 쓰기 작업을 지원하지 않습니다 .

• MaxKey

• MinKey

• null

• undefined

암호화는 이러한 값에 대한 유형 정보를 적절히 숨기지 못합니다.

또한 자동 필드 수준 암호화는 암호화된 필드를 다음 값 유형과 비교하는 작업에서 결정론적 으로 필드에 대한 읽기 또는 쓰기 작업을 지원하지 않습니다.

• double

• decimal128

• bool

• object