フィールドの暗号化とクエリ可能性

Overview

次の Queryable Encryption に関するトピックについて学びます。

• 暗号化されたフィールドでクエリを有効にする際の考慮事項。

• 暗号化のフィールドを指定する方法。

• 暗号化されたフィールドをクエリ可能にするように構成する方法。

• クエリのタイプと暗号化されたフィールドで使用できるタイプ。

• 暗号化されたフィールドでクエリパフォーマンスを最適化する方法。

クエリを有効にする際の考慮事項

Queryable Encryption を使用する場合、暗号化されたフィールドをクエリ可能にするかどうかを選択できます。 暗号化されたフィールドをクエリする必要がある CRUD 操作を実行する必要がない場合は、そのフィールドでクエリを有効にする必要がない場合があります。 You can still retrieve the entire document by querying other fields that are queryable or not encrypted.

暗号化されたフィールドをクエリ可能にすると、Queryable Encryption は暗号化されたフィールドごとにインデックスを作成します。これにより、そのフィールドの書込み操作が長くなる可能性があります。 書込み (write) 操作によってインデックス付きフィールドがアップデートされると、MongoDB は関連するインデックスもアップデートします。

暗号化されたコレクションを作成すると、MongoDB は2 つのメタデータのコレクションを作成し、ストレージ容量の必要量を増やします。

暗号化するフィールドを指定する

Queryable Encryption では、JSON 暗号化スキーマを使用して、MongoDB ドキュメント内のどのフィールドを自動的に暗号化するフィールドを指定します。 暗号化スキーマは、どのフィールドが暗号化され、それらのフィールドでどのクエリが使用できるかを定義します。

暗号化とクエリのフィールドを指定するには、次のプロパティを含む暗号化スキーマを作成します。

{
   "firstName": "Jon",
   "lastName": "Snow",
   "patientId": 12345187,
   "address": "123 Cherry Ave",
   "medications": [
      "Adderall",
      "Lipitor"
   ],
   "patientInfo": {
      "ssn": "921-12-1234",
      "billing": {
            "type": "visa",
            "number": "1234-1234-1234-1234"
      }
   }
}

const encryptedFieldsObject = {
   fields: [
      {
         path: "patientId",
         keyId: "<unique data encryption key>",
         bsonType: "int"
      },
      {
         path: "patientInfo.ssn",
         keyId: "<unique data encryption key>",
         bsonType: "string"
      },
      {
         path: "medications",
         keyId: "<unique data encryption key>",
         bsonType: "array"
      },
      {
         path: "patientInfo.billing",
         keyId: "<unique data encryption key>",
         bsonType: "object"
      }
   ]
}

クエリのフィールドの設定

フィールドをクエリ可能にするには、フィールドにqueriesプロパティを含めます。 これにより、承認されたクライアントは、それらのフィールドに対して読み取りおよび書込みクエリを発行できるようになります。 queriesプロパティを省略すると、クライアントはフィールドをクエリできなくなります。

const encryptedFieldsObject = {
   fields: [
      {
         path: "patientId",
         bsonType: "int",
         queries: { queryType: "equality" }
      },
      {
         path: "patientInfo.ssn",
         bsonType: "string",
         queries: { queryType: "equality" }
      },
      {
         path: "medications",
         bsonType: "array"
      },
      {
         path: "patientInfo.billing",
         bsonType: "object"
      },
   ]
}

競合

同じフィールドと値のペアを連続して複数のドキュメントに挿入するなどの同時書込み操作では、競合（競合）が発生し、操作が遅延する可能性があります。

Queryable Encryption を使用すると、MongoDB は内部カウンターを使用して、暗号化されたコレクション内の各フィールドと値のペアの発生を追跡します。 競合係数は、配列のようにこのカウンターを分割します。 これにより、 insert 、 update 、またはfindAndModifyを使用して、同じフィールドと値のペアが連続して含まれる暗号化されたフィールドを追加または変更するときに、カウンターの増加に関する問題を最小限に抑えられます。 contention = 0は、インデックス0に 1 つの要素を含む配列を作成します。 contention = 4はインデックス0 - 4に5要素を含む配列を作成します。 MongoDB は、挿入中にランダムな配列要素を増加させます。

設定されていない場合、 contentionはデフォルトで8になり、ほとんどのワークロードで高パフォーマンスが提供されます。 コンテンツが大きいと、濃度の低いフィールドで挿入およびアップデート操作のパフォーマンスは向上しますが、検索パフォーマンスは低下します。

クライアントとサーバー スキーマ

MongoDB は、コレクション内の特定のフィールドの暗号化を強制するために、スキーマ検証を使用することをサポートしています。 自動 Queryable Encryption を使用するクライアントは、データベース接続構成に応じて特定の動作をします。

• 接続encryptedFieldsMapオブジェクトに指定されたコレクションのキーが含まれている場合、クライアントは、リモート スキーマを使用するのではなく、そのオブジェクトを使用して自動 Queryable Encryption を実行します。 ローカル ルールは、少なくとも、リモート スキーマが暗号化が必要とマークするフィールドを暗号化する必要があります。

• 接続encryptedFieldsMapオブジェクトに指定されたコレクションのキーが含まれていない場合、クライアントはコレクションのサーバー側リモート スキーマをダウンロードし、それを使用して自動 Queryable Encryption を実行します。

  重要

  動作に関する考慮事項

  クライアントが指定コレクションの暗号化スキーマを持っていない場合、次の状況が発生します。

  • クライアントは、サーバーが自動 Queryable Encryption に関する有効なスキーマを持っていることを信頼します。

  • クライアントはリモート スキーマを使用して自動 Queryable Encryption のみを実行します。 クライアントは、スキーマで指定された他の検証ルールを強制しません。

自動 Queryable Encryption の詳細については、次のリソースを参照してください。

• Queryable Encryption の概要

• クイック スタート

Queryable Encryption の有効化

コレクションを作成する前に、Queryable Encryption を有効にします。 コレクションの作成後に Queryable Encryption を有効にしても、そのコレクション内のドキュメントのフィールドは暗号化されません。 次の 2 つの方法のいずれかの方法で、フィールドで Queryable Encryption を有効にできます。

• アプリケーションがコレクションを作成するために使用するクライアントに、 encryptedFieldsObject定数で表される暗号化スキーマを渡します。

const client = new MongoClient(uri, {
   autoEncryption: {
      keyVaultNameSpace: "<your keyvault namespace>",
      kmsProviders: "<your kms provider>",
      extraOptions: {
         cryptSharedLibPath: "<path to Automatic Encryption Shared Library>"
      },
      encryptedFieldsMap: {
         "<databaseName.collectionName>": { encryptedFieldsObject }
      }
   }
   ...
   await client.db("<database name>").createCollection("<collection name>");
}

autoEncryption構成オプションの詳細については、「 Queryable Encryption の MongoClient オプション 」のセクションを参照してください。

• 暗号化されたフィールド オブジェクトをcreateCollection()に渡して新しいコレクションを作成します。

await encryptedDB.createCollection("<collection name>", {
   encryptedFields: encryptedFieldsObject
});