Esta página descreve como o CSFLE usa metadados do seu diretório de dados e da chave mestra do cliente para descriptografar dados.
Metadados usados para descriptografia
Quando você criptografa dados usando o CSFLE, os dados criptografados são armazenados como um objeto BinData subtipo 6 que inclui os seguintes metadados:
O
_iddo diretório de dados usado para criptografar os dadosO algoritmo de criptografia usado para criptografar os dados
O diretório de dados contém metadados que descrevem qual chave mestra do cliente foi usada para criptografá-las.
Drivers e mongosh usam esses metadados para tentar descriptografar automaticamente seus dados.
Processo de descriptografia automática
Para descriptografar automaticamente seus dados, seu cliente habilitado para CSFLE executa o seguinte procedimento:
Verifique os metadados blob do
BinDatado campo que você pretende descriptografar para a Chave de criptografia de dados e o algoritmo de criptografia usados para criptografar o valor.Verifique a collection de cofre de chaves configurada na conexão de reconhecimento de data center atual para o diretório de dados especificado. Se a collection de cofre de chaves não contiver a chave especificada, a descriptografia automática falhará e o driver retornará um erro.
Verifique os metadados da Chave de criptografia de dados para a Chave mestra do cliente (CMK) usada para criptografar o material da chave.
Descriptografe a chave de criptografia de dados. Este processo varia de acordo com o provedor de KMS:
Para o Amazon Web Services (Amazon Web Services) KMS, envie a chave de criptografia de dados para sua instância do Amazon Web Services KMS para descriptografia. Se a chave mestre do cliente não existir ou se a configuração da conexão não conceder acesso à chave mestre do cliente, a descriptografia falhará e o driver retornará um erro.
Dica
Para saber como usar o KMS do Amazon Web Services para criptografia automática, consulte Usar criptografia automática de nível de campo do lado do cliente com a AWS.
Para o KMS do Google Cloud Platform (GCP), envie a chave de criptografia de dados para sua instância do KMS do GCP para descriptografia. Se a chave mestre do cliente não existir ou se a configuração da conexão não conceder acesso à chave mestre do cliente, a descriptografia falha e o driver retorna um erro.
Dica
Para saber como usar o Google Cloud Platform KMS para criptografia automática, consulte Usar criptografia automática de nível de campo do lado do cliente com GCP.
Para o Azure Key Vault, envie a chave de criptografia de dados para a instância do Azure Key Vault para descriptografia. Se a chave mestre do cliente não existir ou se a configuração da conexão não conceder acesso à chave mestre do cliente, a descriptografia falhará e o driver retornará um erro.
Dica
Para saber como usar o Azure Key Vault para criptografia automática, consulte Usar criptografia automática em nível de campo do lado do cliente com Azure.
Para um KMS compatível com KMIP, recuperar a chave mestra do cliente do KMS e, em seguida, use a chave mestra do cliente localmente para descriptografar a chave de criptografia de dados. Se a chave mestre do cliente não existir ou se a configuração da conexão não conceder acesso à chave mestre do cliente, a descriptografia falha e o driver retorna um erro.
Dica
Para saber como usar um KMS compatível com KMIP para criptografia automática, consulte Usar criptografia automática em nível de campo do lado do cliente com KMIP.
Para um provedor de chave local, recuperar a chave mestra do cliente do seu sistema de arquivos e use-a para descriptografar a chave de criptografia de dados. Se a chave local especificada na configuração do banco de dados não foi usada para criptografar a chave de criptografia de dados, a descriptografia falha e o driver retorna um erro.
Aviso
Proteja seu arquivo de chave local em produção
Recomendamos armazenar as chaves mestras do cliente em um sistemaremoto degerenciamento de chaves (KMS).Para saber como usar um KMS remoto na implementação da Queryable Encryption , consulte o guia Tutoriais de Queryable Encryption .
Se você optar por usar um provedor de chaves local em produção, tenha muito cuidado e não o armazene no sistema de arquivos. Considere injetar a chave em seu aplicação cliente usando um processo secundário ou use outra abordagem que mantenha a chave segura.
Descriptografe o valor
BinDatausando a chave de criptografia de dados descriptografada e o algoritmo apropriado.
Os aplicativos com acesso ao servidor MongoDB que também não têm acesso ao CMK e às Chaves de criptografia de dados necessárias não podem descriptografar os valores BinData .
Comportamento de leitura criptografada automaticamente
Para operações de leitura, o driver criptografa os valores de campo no documento de query usando seu esquema de criptografia antes de emitir a operação de leitura.
Em seguida, seu aplicativo cliente usa os metadados BinData para descriptografar automaticamente o documento que você recebe do MongoDB.
Para saber mais sobre esquemas de criptografia, consulte Esquemas de criptografia.
Saiba mais
Para saber como configurar a conexão do banco de dados para criptografia de nível de campo do lado do cliente, consulte Opções do MongoClient para CSFLE.
Para saber mais sobre a relação entre chaves de encriptação de dados e chaves mestras de cliente, consulte Chaves de encriptação e Key Vaults.