KeyVault.createKey() (método mongosh)

KeyVault.createKey(keyManagementService, customerMasterKey, ["keyAltName"])

Adiciona um diretório de dados ao cofre de chave associado ao reconhecimento de data center. A criptografia no nível do campo do lado do cliente usa diretório de dados para oferecer suporte à criptografia e descriptografia de valores de campo.

Retorna:	O identificador exclusivo `UUID` do diretório de dados criado.

Compatibilidade

Esse comando está disponível em implantações hospedadas nos seguintes ambientes:

MongoDB Atlas: o serviço totalmente gerenciado para implantações do MongoDB na nuvem

MongoDB Enterprise: a versão autogerenciada e baseada em assinatura do MongoDB
MongoDB Community: uma versão com código disponível, de uso gratuito e autogerenciada do MongoDB

Sintaxe

createKey() tem a seguinte sintaxe:

keyVault = db.getMongo().getKeyVault()
keyVault.createKey(
  keyManagementService,
  customerMasterKey,
  [ "keyAltName" ]
)

Parâmetro	Tipo	Descrição
`keyManagementService`	string	Obrigatório O serviço de gerenciamento de chaves (KMS) a ser usado para recuperar a chave mestra do cliente (CMK). Aceita os seguintes parâmetros: `aws` para Amazon Web Services KMS. Requer a especificação de uma string de chave mestra do cliente (CMK) para `customerMasterKey`. `azure` para o Azure Key Vault. Requer a especificação de um documento chave mestra do cliente (CMK) para `customerMasterKey`. Novidade na versão 5.0. `gcp` para KMS do Google Cloud Platform. Requer a especificação de um documento chave mestra do cliente (CMK) para `customerMasterKey`. Novidade na versão 5.0. `local` para uma chave managed localmente. Se `database connection` não foi configurado com o KMS especificado, a criação da chave de criptografia de dados falha.
`customerMasterKey`	string ou documento	A chave mestra do cliente (CMK) a ser usada para criptografar a chave de encriptação de dados. Obrigatório se `keyManagementService` for `aws`, `azure` ou `gcp`. Forneça a chave mestra do cliente da seguinte maneira, dependendo do seu provedor de KMS: Para o Amazon Web Services KMS, especifique o nome do recurso da Amazon (ARN) completo da chave mestra como uma única string. Para o Azure Key Vault KMS, especifique um documento contendo os seguintes pares de valores de chave: `keyName` - O nome do Azure Key Vault `keyVaultEndpoint` - O nome DNS do Azure Key Vault a ser usado `keyVersion` - Opcional. A versão da chave especificada em `keyName`, se aplicável Novidade na versão 5.0. Para o GCP KMS, especifique um documento contendo os seguintes pares de valores de chave: `projectId` - O nome do projeto GCP `location` - A localização do chaveiro KMS `keyRing` - O nome do chaveiro KMS (geralmente 'global') `keyName` - O nome da chave a ser usada `keyVersion` - Opcional. A versão da chave especificada em `keyName`, se aplicável Novidade na versão 5.0. `createKey()` requests that the KMS encrypt the data encryption key material using the specified CMK. If the CMK does not exist or if the `AutoEncryptionOpts` configuration does not have sufficient privileges to use the CMK, `createKey()` returns an error. Este parâmetro não terá efeito se `keyManagementService` for `local` e puder ser omitido com segurança.
`keyAltName`	array de strings	Opcional O nome alternativo para a chave de criptografia de dados. Use `keyAltName` para melhorar a encontrabilidade de um diretório de dados específico ou como um análogo de um comentário. O método `getKeyVault()` cria automaticamente um índice único no campo `keyAltNames` com um filtro de índice parcial para somente documentos onde `keyAltNames` existe.
`options`	documento	Opcional Um documento que especifica opções para a nova chave. `options` tem os seguintes campos: `masterKey`: a nova chave mestre para criptografar dados. `keyAltNames`: uma array de nomes alternativos, um por chave mestre. `keyMaterial`: binddata usado para criar a chave.

Comportamento

Requer a configuração da criptografia no nível do campo do lado do cliente na conexão do reconhecimento de data center

The mongosh client-side field level encryption methods require a database connection with client-side field level encryption enabled. If the current database connection was not initiated with client-side field level encryption enabled, either:

Use the Mongo() constructor from the mongosh to establish a connection with the required client-side field level encryption options. The Mongo() method supports the following Key Management Service (KMS) providers for Customer Master Key (CMK) management:
ou
Use the mongosh command line options to establish a connection with the required options. The command line options only support the Amazon Web Services KMS provider for CMK management.

Exemplo

The following example is intended for rapid evaluation of client-side field level encryption. For specific examples of using KeyVault.createKey() with each supported KMS provider, see Create a Data Key.

Inicie o mongosh

Inicie o cliente mongosh .

mongosh --nodb

Gere sua chave

Para configurar a criptografia no nível do campo do lado do cliente para uma chave managed localmente, gere uma cadeia de 96 bytes codificada em base64 sem quebras de linha.

const TEST_LOCAL_KEY = require("crypto").randomBytes(96).toString("base64")

Criar as opções de criptografia em nível de campo do lado do cliente

Crie as opções de criptografia no nível do campo do lado do cliente usando a string de chave local gerada:

 let autoEncryptionOpts = {
   "keyVaultNamespace" : "encryption.__dataKeys",
   "kmsProviders" : {
     "local" : {
       "key" : BinData(0, TEST_LOCAL_KEY)
     }
   }
 }

Crie seu cliente criptografado

Use o construtor Mongo() com as opções de criptografia de nível de campo do lado do cliente configuradas para criar uma conexão com o reconhecimento de data center. Substitua o URI mongodb://myMongo.example.net pelo URI da string de conexão do cluster de destino.

encryptedClient = Mongo(
  "mongodb://myMongo.example.net:27017/?replSetName=myMongo",
   autoEncryptionOpts
)

Retrieve the keyVault object and use the KeyVault.createKey() method to create a new data encryption key using the locally managed key:

keyVault = encryptedClient.getKeyVault()
keyVault.createKey("local", ["data-encryption-key"])

If successful, createKey() returns the UUID of the new data encryption key. To retrieve the new data encryption key document from the key vault, either:

Use getKey() para recuperar a chave criada em UUID.

-ou-
Use getKeyByAltName() para recuperar a chave pelo nome alternativo.

Voltar

KeyVault.createDataKey

KeyVault.deleteKey