暗号化されたコレクション

挿入操作

ドキュメントを挿入する場合、インデックス付きフィールドごとにメタデータ コレクションへの追加の書込み (write) が必要です。

• への 1 つの書き込み ESC

• への 1 つの書き込み ECOC

アップデート操作

ドキュメントを更新する場合、インデックス付きフィールドごとにメタデータ コレクションへの追加の書込み (write) が必要です。

• への 1 つの書き込み ESC

• への 1 つの書き込み ECOC

削除操作

ドキュメントを削除する場合、インデックス フィールドでは追加の書込み (write) は必要ありません。

ベストプラクティス

• 暗号化が必要ないフィールドは暗号化しないでください。 ほとんどのデータでは、個人を特定できる情報を含むフィールドの少数のサブセットのみが暗号化されます。

• 等価クエリで十分なユーザーは、フィールドで範囲クエリを有効にしないでください。

• 範囲クエリが有効になっている暗号化フィールドの場合は、フィールド構成、特に最小値、最大値、精度のパラメーターを確認します。 範囲クエリに厳密な境界を設定すると、それらのフィールドのパフォーマンスへの影響が大幅に軽減されます。

• データをモデル化してプロトタイプを作成し、配置における実際のストレージと書込みの増加を判断します。

メタデータ圧縮のスケジュール

ベストプラクティスとして、次の情報を追跡しておきます。

• encfields:ドキュメントごとの暗号化されたフィールドの数。

• docinserts: 前回の圧縮以降に挿入されたドキュメントの数。

• valinserts: 前回の圧縮以降に挿入された一意のフィールドと値のペアの数。

ESCメタデータコレクションのサイズを少なくともtドキュメントずつ縮小するには、次の式が満たされたときにメタデータ圧縮を実行します。

（ encfields・docinserts ）- valinserts `` t

ドキュメントあたりの暗号化されたフィールドの数に、前回の圧縮以降の挿入数を掛けて、最後の圧縮以降にすべてのドキュメントに挿入された一意のフィールドと値のペアの数を引いた値は、 から削除するドキュメントの数以上である必要がありますESC 。

メタデータ圧縮の実行

メタデータの圧縮は手動で実行する必要があります。 mongoshを使用し、 db.collection.compactStructuredEncryptionData()コマンドを実行します。

const eDB = "encryption"
const eKV = "__keyVault"
const secretDB = "records"
const secretCollection = "patients"
const localKey = fs.readFileSync("master-key.txt")
const localKeyProvider = { key: localKey }
const queryableEncryptionOpts = {
  kmsProviders: { local: localKeyProvider },
  keyVaultNamespace: `${eDB}.${eKV}`,
}
const encryptedClient = Mongo("localhost:27017", queryableEncryptionOpts)
const encryptedDB = encryptedClient.getDB(secretDB)
const encryptedCollection = encryptedDB.getCollection(secretCollection)
encryptedCollection.compactStructuredEncryptionData()

{
  "stats": {
     ...
  },
  "ok": 1,
  ...
}

メタデータコレクションのサイズは、 mongoshとdb.collection.totalSize()コマンドを実行中して確認できます。

db.enxcol_.patients.esc.totalSize()

1407960328