キーとキー ボールト

Overview

このガイドでは、クライアント側フィールドレベル暗号化（CSFLE）の次のコンポーネントに関する詳細を学習できます。

• データ暗号化キー（ DEK ）

• カスタマー マスター キー（ CMK ）

• キーヴォールト コレクション

• キー管理システム（ KMS ）

上記のコンポーネントを使用して CSFLE 対応クライアントを設定する方法を示す手順付きガイドは、次のリソースを参照してください。

• クイック スタート

• Tutorials

キー

データ暗号化キー（ DEK ）は、MongoDB がドキュメント内のフィールドを暗号化するために使用するキーです。 DEKは、カスタマー マスター キー（ CMK ）で暗号化された キーヴォールト コレクション内のドキュメントに保存します。

カスタマー マスター キーは、MongoDB が作成時に データ暗号化キー を暗号化するために使用するキーです。 CMKにアクセスしないと、クライアント アプリケーションは関連付けられている DEK を復号化することはできません。

DEKを削除すると、そのDEKで暗号化されたすべてのフィールドが永続的に読み取りできなくなります。 CMK を削除すると、その CMK を使用して DEK で暗号化されたすべてのフィールドが永続的に読み取りできなくなります。

DEK 、 CMK 、および Key Vault コレクションがサポートされているすべてのKMSプロバイダー アーキテクチャでどのように相互作用するのかを示す図については、「 CSFLE KMS プロバイダー 」を参照してください。

キーヴォールト コレクション

キーヴォールトコレクションは、暗号化された データ暗号化キー（ DEK ）ドキュメントの保存に使用する MongoDB のコレクションです。 DEKドキュメントは、DEK を含む BSON ドキュメントで、次の構造を持つ BSON ドキュメントです。

{
  "_id" : UUID(<string>),
  "status" : <int>,
  "masterKey" : {<object>},
  "updateDate" : ISODate(<string>),
  "keyMaterial" : BinData(0,<string>),
  "creationDate" : ISODate(<string>),
  "keyAltNames" : <array>
}

Key Vault コレクションは、標準の MongoDB コレクションと同様に作成します。 Key Vault コレクションには、 keyAltNamesフィールドに一意のインデックスが必要です。 一意なインデックスが存在するかどうかを確認するには、Key Vault コレクションに対してlistIndexesコマンドを実行します。

1
db.runCommand({
2
   listIndexes: "__keyVault",
3
});

1
{
2
   cursor: {
3
      id: Long("0"),
4
      ns: 'encryption.__keyVault',
5
      firstBatch: [
6
         { v: 2, key: { _id: 1 }, name: '_id_' }
7
         ]
8
   },
9
   ok: 1,
10
}

一意のインデックスが存在しない場合は、 DEK管理を実行する前にアプリケーションで一意のインデックスが作成される必要があります。

MongoDB コレクションの作成方法については、「データベースとコレクション 」を参照してください。