クライアントサイドのフィールドレベル暗号化

項目一覧

データ暗号化キーの作成

MongoDB Enterpriseまたは MongoDB Atlas クラスターを使用する場合、 mongoshを使用してクライアント側フィールドレベル暗号化を構成し、暗号化サポートに接続できます。クライアント側のフィールドレベル暗号化は、フィールド値の暗号化と復号化をサポートするためにデータ暗号化キーを使用し、この暗号化キーマテリアルをKMS （ KMS ）に保存します。

mongosh は、クライアント側のフィールドレベル暗号化で使用する次の KMS プロバイダーをサポートします。

Amazon Web Services KMS
Azure Key Vault
Google Cloud Platform KMS
ローカルで管理されるキーファイル

データ暗号化キーの作成

次の手順では、 mongoshを使用して、クライアント側のフィールドレベルの暗号化と復号化で使用するデータ暗号化キーを作成します。

以下のタブを使用して、配置に適した KMSを選択します。

`mongosh`shell を起動します。

--nodbオプションを使用して、実行中のデータベースに接続せずにmongoshセッションを作成します。

mongosh --nodb

暗号化構成を作成します。

Amazon Web Services KMSのクライアント側フィールドレベル暗号化を構成するには、 Amazon Web ServicesアクセスキーIDとそれに関連付けられたシークレットアクセスキーが必要です。 Amazon Web Servicesアクセスキーは、 KMSサービスに対するすべてのリストおよび読み取り権限を持つ IAM ユーザーに対応する必要があります。

mongoshでは、次の認証情報を含むクライアント側のフィールドレベル暗号化構成を保存するための新しいAutoEncryptionOpts変数が作成されます。

var autoEncryptionOpts = {
  "keyVaultNamespace" : "encryption.__dataKeys",
  "kmsProviders" : {
    "aws" : {
      "accessKeyId" : "YOUR_AWS_ACCESS_KEY_ID",
      "secretAccessKey" : "YOUR_AWS_SECRET_ACCESS_KEY"
    }
  }
}

必要に応じて、 YOUR_AWS_ACCESS_KEY_IDとYOUR_AWS_SECRET_ACCESS_KEYの値を入力します。

暗号化サポートで接続します。

mongoshでは、 Mongo()コンストラクターを使用してターゲットクラスターへのデータベース接続を確立します。 AutoEncryptionOptsドキュメントをMongo()コンストラクターの 2 番目のパラメーターとして指定して、クライアント側のフィールドレベル暗号化の接続を構成します。

csfleDatabaseConnection = Mongo(
  "mongodb://replaceMe.example.net:27017/?replicaSet=myMongoCluster",
  autoEncryptionOpts
)

replaceMe.example.net URIを、ターゲットクラスターの接続stringに置き換えます。

キーヴォールトオブジェクトを作成します。

getKeyVault() shell メソッドを使用してkeyVaultオブジェクトを作成します。

keyVault = csfleDatabaseConnection.getKeyVault();

暗号化キーを作成します。

createKey() shell メソッドを使用してデータ暗号化キーを作成します。

keyVault.createKey(
  "aws",
  { region: "regionname", key: "awsarn" },
  [ "keyAlternateName" ]
)

以下の条件に一致するもの。

構成された Amazon Web Services KMS を指定するには、最初のパラメータが"aws"である必要があります。
2 番目のパラメーターは、次の内容を含むドキュメントである必要があります。
- 接続しているAmazon Web Servicesのリージョン（例： us-west-2
- Amazonリソース名（ARN）にAmazon Web Services カスタマーマスターキー（CMK）を入力します。
3 つ目のパラメータは、データ暗号化のキーの 1 つ以上のkeyAltNamesの配列にすることができます。各キーの代替名は一意である必要があります。 getKeyVault()はkeyAltNamesに一意なインデックスを作成し、フィールドに一意性を強制します（未作成の場合）。キーの代替名により、データ暗号化されたキーを見つけやすくなります。

成功した場合、 createKey()は新しいデータ暗号化キーのUUIDを返します。新しいデータ暗号化キードキュメントをキーヴォールトから検索するには、次のいずれかを実行します。

getKey()を使用して、 UUIDで作成されたキーを取得するか、
別名でキーを検索するには、 getKeyByAltName()を使用します（指定されている場合）。

`mongosh`shell を起動します。

--nodbオプションを使用して、実行中のデータベースに接続せずにmongoshセッションを作成します。

mongosh --nodb

暗号化構成を作成します。

Azure Key Vault のクライアント側フィールドレベル暗号化を構成するには、有効なテナント ID、クライアント ID、およびクライアントシークレットが必要です。

mongoshでは、次の認証情報を含むクライアント側のフィールドレベル暗号化構成を保存するための新しいAutoEncryptionOpts変数が作成されます。

var autoEncryptionOpts = {
  "keyVaultNamespace" : "encryption.__dataKeys",
  "kmsProviders" : {
    "azure" : {
      "tenantId" : "YOUR_TENANT_ID",
      "clientId" : "YOUR_CLIENT_ID",
      "clientSecret" : "YOUR_CLIENT_SECRET"
    }
  }
}

必要に応じて、 YOUR_TENANT_ID 、 YOUR_CLIENT_ID 、 YOUR_CLIENT_SECRETの値を入力します。

暗号化サポートで接続します。

csfleDatabaseConnection = Mongo(
  "mongodb://replaceMe.example.net:27017/?replicaSet=myMongoCluster",
  autoEncryptionOpts
)

replaceMe.example.net URIを、ターゲットクラスターの接続stringに置き換えます。

キーヴォールトオブジェクトを作成します。

getKeyVault() shell メソッドを使用してkeyVaultオブジェクトを作成します。

keyVault = csfleDatabaseConnection.getKeyVault();

暗号化キーを作成します。

createKey() shell メソッドを使用してデータ暗号化キーを作成します。

keyVault.createKey(
  "azure",
  { keyName: "keyvaultname", keyVaultEndpoint: "endpointname" },
  [ "keyAlternateName" ]
)

以下の条件に一致するもの。

構成された Azure Key Vault を指定するには、最初のパラメータが"azure"である必要があります。
2 番目のパラメーターは、次の要素を含むドキュメントである必要があります。
- Azure Key Vault の名前
- 使用する Azure Key Vault の DNS 名（例: my-key-vault.vault.azure.net ）
3 つ目のパラメータは、データ暗号化のキーの 1 つ以上のkeyAltNamesの配列にすることができます。各キーの代替名は一意である必要があります。 getKeyVault()はkeyAltNamesに一意なインデックスを作成し、フィールドに一意性を強制します（未作成の場合）。キーの代替名により、データ暗号化されたキーを見つけやすくなります。

getKey()を使用して、 UUIDで作成されたキーを取得するか、
別名でキーを検索するには、 getKeyByAltName()を使用します（指定されている場合）。

`mongosh`shell を起動します。

--nodbオプションを使用して、実行中のデータベースに接続せずにmongoshセッションを作成します。

mongosh --nodb

暗号化構成を作成します。

GCP KMS のクライアント側フィールドレベル暗号化を構成するには、GCP メールとそれに関連付けられた秘密キーが必要です。

mongoshでは、次の認証情報を含むクライアント側のフィールドレベル暗号化構成を保存するための新しいAutoEncryptionOpts変数が作成されます。

var autoEncryptionOpts = {
  "keyVaultNamespace" : "encryption.__dataKeys",
  "kmsProviders" : {
    "gcp" : {
      "email" : "YOUR_GCP_EMAIL",
      "privateKey" : "YOUR_GCP_PRIVATEKEY"
    }
  }
}

必要に応じて、 YOUR_GCP_EMAILとYOUR_GCP_PRIVATEKEYの値を入力します。

暗号化サポートで接続します。

csfleDatabaseConnection = Mongo(
  "mongodb://replaceMe.example.net:27017/?replicaSet=myMongoCluster",
  autoEncryptionOpts
)

replaceMe.example.net URIを、ターゲットクラスターの接続stringに置き換えます。

キーヴォールトオブジェクトを作成します。

getKeyVault() shell メソッドを使用してkeyVaultオブジェクトを作成します。

keyVault = csfleDatabaseConnection.getKeyVault();

暗号化キーを作成します。

createKey() shell メソッドを使用してデータ暗号化キーを作成します。

keyVault.createKey(
  "gcp",
  { projectId: "projectid",
    location: "locationname",
    keyRing: "keyringname",
    keyName: "keyname"
  },
  [ "keyAlternateName" ]
)

以下の条件に一致するもの。

構成されたを指定するには、最初のパラメータはである必要"gcp"Google Cloud PlatformKMS があります。
2 つ目のパラメーターは、次を含むドキュメントである必要があります:
- projectid は、GCP プロジェクトの名前です（例： my-project
- locationname は、KMS キーリングのロケーションです（例: global
- keyringname は、KMS キーリングの名前です（例： my-keyring
- keyname は、キーの名前です。
3 つ目のパラメータは、データ暗号化のキーの 1 つ以上のkeyAltNamesの配列にすることができます。各キーの代替名は一意である必要があります。 getKeyVault()はkeyAltNamesに一意なインデックスを作成し、フィールドに一意性を強制します（未作成の場合）。キーの代替名により、データ暗号化されたキーを見つけやすくなります。

getKey()を使用して、 UUIDで作成されたキーを取得するか、
別名でキーを検索するには、 getKeyByAltName()を使用します（指定されている場合）。

`mongosh`shell を起動します。

--nodbオプションを使用して、実行中のデータベースに接続せずにmongoshセッションを作成します。

mongosh --nodb

暗号化キーを生成します。

ローカルで管理されているキーに対してクライアント側のフィールドレベル暗号化を構成するには、基本的に64でエンコードされた96バイトの string を指定する必要があります。これらの要件に一致するキーを生成するには、 mongoshで次のコマンドを実行します。

crypto.randomBytes(96).toString('base64')

このキーは次のステップで必要になります。

暗号化構成を作成します。

mongoshでは、クライアント側のフィールドレベル暗号化構成を保存するための新しいAutoEncryptionOpts変数が作成され、 MY_LOCAL_KEYがステップ1で生成されたキーに置き換えられます。

var autoEncryptionOpts = {
  "keyVaultNamespace" : "encryption.__dataKeys",
  "kmsProviders" : {
    "local" : {
      "key" : BinData(0, "MY_LOCAL_KEY")
    }
  }
}

暗号化サポートで接続します。

csfleDatabaseConnection = Mongo(
  "mongodb://replaceMe.example.net:27017/?replicaSet=myMongoCluster",
  autoEncryptionOpts
)

キーヴォールトオブジェクトを作成します。

getKeyVault() shell メソッドを使用してkeyVaultオブジェクトを作成します。

keyVault = csfleDatabaseConnection.getKeyVault();

暗号化キーを作成します。

createKey() shell メソッドを使用してデータ暗号化キーを作成します。

keyVault.createKey(
  "local",
  [ "keyAlternateName" ]
)

以下の条件に一致するもの。

構成されたローカルマネージドキーを指定するには、最初のパラメータがlocalである必要があります。
2 番目のパラメータは、データ暗号化のキーの 1 つ以上のkeyAltNamesの配列にすることができます。各キーの代替名は一意である必要があります。 getKeyVault()はkeyAltNamesに一意なインデックスを作成し、フィールドに一意性を強制します（未作成の場合）。キーの代替名により、データ暗号化されたキーを見つけやすくなります。

getKey()を使用して、 UUIDで作成されたキーを取得するか、
別名でキーを検索するには、 getKeyByAltName()を使用します（指定されている場合）。

Tip

以下も参照してください。

戻る

集計パイプラインを実行する

スクリプトの書き込み (write)

データ暗号化キーの作成

mongoshshell を起動します。

暗号化構成を作成します。

暗号化サポートで接続します。

キーヴォールト オブジェクトを作成します。

暗号化キーを作成します。

mongoshshell を起動します。

暗号化構成を作成します。

暗号化サポートで接続します。

キーヴォールト オブジェクトを作成します。

暗号化キーを作成します。

mongoshshell を起動します。

暗号化構成を作成します。

暗号化サポートで接続します。

キーヴォールト オブジェクトを作成します。

暗号化キーを作成します。

mongoshshell を起動します。

暗号化キーを生成します。

暗号化構成を作成します。

暗号化サポートで接続します。

キーヴォールト オブジェクトを作成します。

暗号化キーを作成します。

Tip

以下も参照してください。

`mongosh`shell を起動します。

キーヴォールトオブジェクトを作成します。

`mongosh`shell を起動します。

キーヴォールトオブジェクトを作成します。

`mongosh`shell を起動します。

キーヴォールトオブジェクトを作成します。

`mongosh`shell を起動します。

キーヴォールトオブジェクトを作成します。