加密密钥管理

加密组件

MongoDB 使用以下组件来执行客户端字段级加密：

• 数据加密密钥 (DEK)

• 客户主密钥 (CMK)

• 密钥保管库集合

• 密钥管理系统 (KMS)

要学习；了解有关密钥和密钥保管库的更多信息，请参阅加密密钥和密钥保管库。

支持的密钥管理服务

客户端字段级加密支持以下密钥管理系统提供程序：

• Amazon Web Services KMS

• Azure Key Vault

• Google Cloud KMS

• 任何符合 KMIP 的密钥管理系统

• 本地密钥提供程序

默认 KMIP 协议版本是 1.2。您可以在 MongoDB 服务器的配置文件中将 MongoDB 配置为使用 KMIP 1.0 或 1.1 版本。

要学习；了解有关这些提供程序的更多信息，包括显示应用程序如何使用它们来执行客户端字段级加密的图表，请参阅KMS提供程序。

管理数据加密密钥的备用名称

您可以为数据加密密钥指定备用名称，以方便应用密钥。通过指定备用名称，您可以执行以下操作：

• 以不同于 _id 字段的方式参考 DEK。

• 在运行时动态分配 DEK。

{
  "<database>.<collection>": {
    "bsonType": "object",
    "properties": {
      "salary": {
        "encrypt": {
          "bsonType": "int",
          "keyId": "/fieldWithAltName",
          "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Random"
        }
      }
    }
  }
}

{
  "name": "Jon Doe",
  "salary": 45000,
  "fieldWithAltName": "my-alt-name"
}

{
    "name": "Jon Doe",
    "salary": 45000,
    "fieldWithAltName": "my-alt-name"
},
{
    "name": "Jane Smith",
    "salary": 70000,
    "fieldWithAltName": "my-other-alt-name"
}

程序：使用 Mongo Shell 轮换加密密钥

对于 Mongo Shell 1.5 和更高版本，您可以使用 rewrapManyDataKey 方法轮换加密密钥。rewrapManyDataKey 方法自动解密多个数据密钥，并使用指定的客户主密钥重新加密这些密钥。然后，它在密钥保管库集合中更新轮换的密钥。这种方法允许您根据两个可选参数轮换加密密钥：

• 用于指定要轮换的密钥的筛选器。如果没有与给定筛选器匹配的数据密钥，则不会轮换任何密钥。省略筛选器可轮换密钥保管库集合中的所有密钥。

• 表示新 CMK 的对象。可以省略该对象以使用当前 CMK 轮换数据密钥。

rewrapManyDataKey 使用以下事务语法：

keyVault = db.getKeyVault()
keyVault.rewrapManyDataKey(
   {
      "<Your custom filter>"
   },
   {
      provider: "<KMS provider>",
      masterKey: {
         "<dataKeyOpts Key>" : "<dataKeyOpts Value>"
      }
   }
)

如需进一步了解 KMS 提供商的 dataKeyOpts 对象，请参阅“支持密钥管理服务”。

删除数据加密密钥

您可以使用标准增删改查操作中的删除操作将数据加密密钥从密钥保管库集合中删除。如果删除了 DEK，使用该 DEK 加密的所有字段将永久不可读。

keyVault = db.getKeyVault()
keyVault.deleteKey(UUID("<UUID String>"))

要学习；了解有关密钥保管库集合的更多信息，请参阅加密密钥和密钥保管库。

了解详情

有关详细介绍如何使用每个支持的 KMS 提供程序设置支持 CSFLE 的应用程序的教程，请参阅以下页面：

• 通过 AWS 使用客户端字段级自动加密

• 通过 Azure 使用客户端字段级自动加密

• 通过 GCP 使用客户端字段级自动加密

• 通过 KMIP 使用客户端字段级自动加密

如需查看加密模式的其他示例，请参阅“CSFLE 加密模式”。