暗号化キー管理

暗号化コンポーネント

MongoDB は、Queryable Encryption を実行するために次のコンポーネントを使用します。

• データ暗号化キー（ DEK ）s

• カスタマー マスター キー（ CMK ）

• キーヴォールト コレクション

• キー管理システム（ KMS ）

キーとキー ボールトの詳細については、 キーとキー Vault を参照してください。

mongosh を使用した暗号化キーのローテーション

KeyVault.rewrapManyDataKey()メソッドを使用して暗号化のキーをローテーションできます。 rewrapManyDataKeyメソッドは複数のデータキーを自動的に復号化し、指定された CMK を使用して再暗号化します。 次に、キーヴォールトコレクション内のローテーションされたキーをアップデートします。 この方法では、2 つのオプションの引数に基づいて暗号化のキーをローテーションできます。

• ローテーションするキーを指定するために使用されるクエリフィルター ドキュメント。 指定されたフィルターに一致するデータキーがない場合、キーはローテーションされません。 フィルターを省略すると、キーヴォールト コレクション内のすべてのキーがローテーションされます。

• 新しいCMKを表すオブジェクト。 現在の CMK を使用してデータキーをローテーションするには、このオブジェクトを省略します。

rewrapManyDataKeyメソッドの構文は次のとおりです。

let keyVault = db.getMongo().getKeyVault()
keyVault.rewrapManyDataKey(
   {
      "<Your custom filter>"
   },
   {
      provider: "<KMS provider>",
      masterKey: {
         "<dataKeyOpts Key>" : "<dataKeyOpts Value>"
      }
   }
)

サポートされているキー管理サービス

Queryable Encryption は、次のキー管理システム プロバイダーをサポートしています。

• Amazon Web Services KMS

• Azure Key Vault

• Google Cloud KMS

• 任意の KMIP 準拠キー管理システム

• ローカル キー プロバイダー（テスト専用）

アプリケーションが KMS プロバイダーを使用して Queryable Encryption を実行する方法を示す図など、これらのプロバイダーの詳細については、「 KMS プロバイダー 」を参照してください。

詳細

サポートされているKMSプロバイダーのそれぞれを使用して、Queryable Encryption 対応のアプリケーションを設定する方法の詳細なチュートリアルについては、次のページを参照してください。

• での自動 の使用Queryable EncryptionAmazon Web Services

• Azure で自動 Queryable Encryption を使用する

• GCP で自動 Queryable Encryption を使用する