MongoDB 数据加密

建议有针对性地为那些包含敏感信息（例如 PII 或 PHI）的文档字段启用“正在使用的加密”功能。

客户端字段级加密技术与传输中加密和静态加密相结合，为数据提供全方位的生命周期保护使，而使用互补的方法提供深度防御的安全态势，以应对各种不同的威胁模式。

• 传输中加密可以保护所有通过网络传输的数据，但不会加密正在使用或处于静态的数据。
• 静态加密可以保护所有存储的数据，但不会加密正在使用或传输中的数据。
• 通过正在使用的加密，最敏感的数据在离开应用程序时永远不会以明文形式存在。在客户端加密的字段不能被服务器解密，并且在传输中、静态和正在使用中保持加密，即使在处理查询时也是如此。

您可以将加密密钥存储在任意选择的云服务商中，不必与您的数据存放在同一家云服务商。例如，您可以将数据存储在 Azure，但将加密密钥存储在 AWS KMS，或者将数据存储在 AWS，但将密钥存储在 GCP Cloud KMS。此方法适用于静态加密和正在使用的加密功能。

MongoDB Enterprise 支持启用 KMIP 的密钥提供程序进行静态加密。不支持云提供的KMS（密钥管理系统）。

Queryable Encryption 使用快速加密搜索算法，在服务器端添加额外的加密数据结构，从而能够处理加密数据的等值和范围查询。由于数据库进行了查询处理，因此无需将额外的结果返回客户端，也无需为客户端查询处理编写额外的应用程序代码。

客户端字段级加密提供了相关功能，因为它会先对客户端上的数据进行加密，然后再将数据插入到数据库中。查询仅限于等值查询，并且必须将确定性加密用于等值查询。

从 8.0 版开始， Queryable Encryption 支持对加密数据进行等值和范围查询。

未来版本将增加对前缀、后缀和子字符串等查询类型的支持。