Mongo()（mongosh方法）

keyVaultClient

Mongo() 连接对象。

（可选）托管密钥保管库集合的 MongoDB cluster。

Specify a Mongo() connection object pointing to the cluster:

var keyVaultClient = Mongo(<MongoDB URI>);
var autoEncryptionOptions = {
  "keyVaultClient" : keyVaultClient,
  "keyVaultNamespace" : "<database>.<collection>",
  "kmsProviders" : { ... }
}

If keyVaultClient is omitted, the host specified to the Mongo() object containing the autoEncryptionOpts document is used as the key vault host.

keyVaultNamespace

字符串

（必填）密钥保管库集合的完整命名空间 。

kmsProviders

文档

(必填）客户端字段级加密使用的密钥管理服务（KMS），用于管理客户主密钥（CMK）。客户端字段级加密使用 CMK 对数据加密密钥进行加密及解密。

客户端字段级加密支持以下 KMS 提供商：

• Amazon Web Services KMS

• Azure Key Vault

• Google Cloud Platform KMS

• 本地管理的密钥

If possible, consider defining the credentials provided in kmsProviders as environment variables, and then passing them to mongosh using the --eval option. This minimizes the chances of credentials leaking into logs. See Create a Data Key for examples of this approach for each supported KMS.

Amazon Web Services KMS

重要提示：要获得 AWS KMS支持，请使用mongosh 或MongoDB..4 22或更高版本的旧版mongo Shell 。由于KMS响应对象发生意外更改，..4 2042和..1 旧版mongo Shell不支持AWS KMS服务。有关更多信息，请参阅 SERVER-44721 。

使用以下字段将 aws 文档指定为 kmsProviders：

"kmsProviders" : {
   "aws" : {
     "accessKeyId" : "AWSAccessKeyId",
     "secretAccessKey" : "AWSSecretAccessKey"
   }
 }

指定的 accessKeyId 必须对应于具有 KMS 服务的所有 List 和 Read 权限的 IAM 用户。

在某些环境中， Amazon Web Services SDK 可以自动获取凭证。 要启用Amazon Web Services KMS而不向Amazon Web Services SDK 提供显式凭证，您可以将 kmsProvider 详细信息传递给 Mongo() 构造函数。

{
  "kmsProviders" : { "aws" : { } }
}

Azure Key Vault

使用以下字段将 azure 文档指定为 kmsProviders：

"kmsProviders" : {
  "azure" : {
    "tenantId" : "AzureTenantId",
    "clientId" : "AzureClientId",
    "clientSecret" : "AzureClientSecret"
  }
}

版本 5.0 中的新增功能。

Google Cloud KMS

使用以下字段将 gcp 文档指定为 kmsProviders：

"kmsProviders" : {
  "gcp" : {
    "email" : "GCPEmail",
    "privateKey" : "GCPPrivateKey"
  }
}

版本 5.0 中的新增功能。

本地管理的密钥

使用以下字段将local文档指定为kmsProviders ：

"kmsProviders" : {
  "local" : {
     "key" : BinData(0, "<96 byte base-64 encoded key>")
  }
}

指定的 key 必须是 base64 编码的 96 字节字符串，且不包含换行符。

schemaMap

文档

（可选） 使用JSON schema草案 4 标准语法和特定于加密的关键字指定的自动客户端字段级加密规则。此选项与 explicitEncryptionOnly 互斥。如果 schemaMap 和 encryptedFieldsMap 上同时存在一个集合，则初始化时会出现 libmongocrypt 错误。

有关完整的文档，请参阅加密模式。

bypassAutoEncryption

布尔

（可选）指定 true 可绕过自动客户端字段级加密规则并执行显式（手动）逐字段加密。

bypassQueryAnalysis

布尔

（可选）指定 true，在没有 crypt_shared 库的情况下对索引字段使用显式加密。有关详细信息，请参阅用于 Queryable Encryption 的 MongoClient 选项。

explicitEncryptionOnly

布尔

（可选）指定true以表示既不使用自动加密，也不使用自动解密。 您可以使用getKeyVault()和getClientEncryption()执行显式加密。 此选项与schemaMap互斥。 如果省略，则默认为false 。

tlsOptions

对象

（可选） PEM 格式 ( tlsCertificateKeyFile ) 的 TLS客户端端证书和私钥文件、TLS客户端证书和私钥文件密码 ( tlsCertificateKeyFilePassword ) 或 TLS 证书颁发机构文件( tlsCAFile ) 的路径，用于以 PEM 格式连接到KMS 。 要学习；了解有关这些选项的更多信息，请参阅TLS 选项。

encryptedFieldsMap

文档

（可选）集合命名空间到 encryptedFields 文档的映射。encryptedFields 是描述Queryable Encryption加密字段的BSON文档。如果 schemaMap 和 encryptedFieldsMap 上同时存在一个集合，则初始化时会出现 libmongocrypt 错误。

要学习；了解有关Queryable Encryption中加密字段的更多信息，请参阅加密字段和启用的查询。