静态加密

加密过程

如果已启用加密，则MongoDB Enterprise使用的默认加密模式是通过 OpenSSL 的 AES256-CBC（或密码分组链接模式下的 256 位高级加密标准）。 AES-256 使用对称密钥，即使用相同的密钥来加密和解密文本。 MongoDB Enterprise for Linux还支持经过身份验证的加密AES256-GCM（或 Galois/Counter 模式下的 256 位高级加密标准）。

加密存储引擎使用认证的底层操作系统加密提供程序来执行加密操作。例如，在 Linux 操作系统上安装的 MongoDB 使用 OpenSSL libcrypto FIPS-140 模块。

要在符合 FIPS 标准的模式下运行 MongoDB：

1. 将操作系统配置为在 FIPS 强制模式下运行。

2. 配置 MongoDB 以启用 net.tls.FIPSMode 设置。

3. 重新启动 mongod 或 mongos。

4. 检查服务器日志文件以确认 FIPS 模式已启用。如果 FIPS 模式已启用，日志文件中则会显示消息 FIPS 140-2 mode activated。

更多信息，请参阅为 FIPS 配置 MongoDB。

数据加密流程包括：

• 生成主密钥。

• 为每个数据库生成密钥。

• 用数据库密钥加密数据。

• 使用主密钥来加密数据库密钥。

加密在存储层中透明进行，这意味着从文件系统的角度来看，所有数据文件都是完全加密的，数据仅以未加密状态存在于内存中和传输过程中。

要加密 MongoDB 的所有网络流量，可以使用 TLS/SSL（传输层安全性/Secure Sockets Layer）。请参阅配置 MongoDB 实例以进行 TLS/SSL 加密和针对客户端的 TLS/SSL 配置。

密钥管理

数据库密钥属于服务器内部，并且仅以加密格式分页到磁盘。MongoDB 在任何情况下都不会将主密钥分页到磁盘。

只有主密钥位于服务器外部（这意味着它与数据和数据库密钥分开保存），并且需要外部管理。为了管理主密钥，MongoDB 的加密存储引擎支持两种密钥管理选项：

• 通过 Key Management Interoperability Protocol (KMIP) 与第三方密钥管理设备集成。推荐

  注意

  对于使用 KMIP 与第三方密钥管理设备进行的集成，您应允许以下 KMIP 操作：

  • 创建 (operation_create)

  • 获取 (operation_get)

  • 激活 (operation_activate)

  • GetAttributes (operation_get_attributes)

  • 加密 (operation_encrypt)

  • 解密 (operation_decrypt)

  MongoDB需要使用默认KMIP配置进行加密和解密操作。security.kmip.useLegacyProtocoltrue如果您在MongoDB服务器 配置文件 中将 设为 ，MongoDB使用KMIP1.0 /1.1协议，它不需要这些操作。

• 通过密钥文件进行本地密钥管理。

要配置 MongoDB 进行加密并使用两个密钥管理选项，请参阅配置加密。

加密和复制

加密不是复制的一部分：

• 主密钥和数据库密钥不会被复制，且

• 数据不是通过网络进行本地加密的。

虽然您可以为节点重复使用同一密钥，但 MongoDB 建议为每个节点使用单独的密钥并进行传输加密。

详情请参阅轮换加密密钥。

审核日志

仅在 MongoDB Enterprise 中可用。