Queryable Encryption がサポートする操作

を使用する操作 BinData

MongoDB は Queryable Encryption で暗号化されたフィールドをBinData shell として保存します。 暗号化されたBinData値に対して発行された読み取りおよび書込み操作は、復号化された値に対して同じ操作を発行した場合と比較して、予期しない動作や誤った動作を引き起こす可能性があります。 特定の操作は厳格な BSON タイプのサポートがあり、 BinData値に対して発行するとエラーが返されます。 Queryable Encryption と互換性のある公式の ドライバーは、 BinData値をサポートしていない演算子または式、またはBinData値に対して発行された場合に正常な動作を持たない演算子または式の読み取りおよび書込み操作を解析します。

明示的な暗号化を使用するアプリケーションは、暗号化されたフィールドに対して読み取りおよび書込み操作を発行するためのガイダンスとしてこのページを使用する場合があります。

サポートされている読み取りコマンドと書込みコマンド

Queryable Encryption 互換ドライバーは、次のコマンドによる自動暗号化をサポートします。

• aggregate

• count

• delete

• explain

• find

• findAndModify

• insert

• update

サポートされている コマンドのいずれでも、コマンドでサポートされていない演算子、集計ステージ、または集計式が使用されている場合、ドライバーはエラーを返します。 サポートされている演算子、ステージ、および式の完全なリストについては、次のセクションを参照してください。

• サポートされているクエリ演算子

• サポートされている更新演算子

• サポートされている集計ステージ

• サポートされている集計式

次のコマンドには自動暗号化は必要ありません。 自動暗号化用に構成された公式ドライバーは、これらのコマンドをmongodに直接渡します。

• getMore [1]

• authenticate

• hello

• logout

• abortTransaction

• commitTransaction

• endSessions

• startSession

• create

• createIndexes

• drop

• dropDatabase

• dropIndexes

• killCursors

• listCollections

• listDatabases

• listIndexes

• renameCollection

• ping

自動暗号化用に構成された互換性のあるドライバーを介して他のコマンドを発行すると、エラーが返されます。

Queryable Encryption を使用するシャーディングされたクラスターのトランザクションの場合、 readConcernをsnapshotに設定する必要があります。

サポートされているクエリ演算子

自動暗号化用に構成されたドライバーは、暗号化されたクエリ可能なフィールドに対して発行された場合、次のクエリ演算子をサポートします。

• $eq

• $ne

• $in

• $nin

• $and

• $or

• $not

• $nor

{$expr: {$eq: ["$encrypted1", "$encrypted2"]}}

{$expr: {$eq: ["$encrypted1", "plaintext_value"]}}

暗号化されたフィールドをnullまたは正規表現と比較するクエリでは、サポートされているクエリ演算子を使用している場合でも、常にエラーがスローされます。

$exists演算子は、暗号化されたフィールドに対して発行された場合、通常の動作をします。

暗号化されたフィールドに対して他のクエリ演算子を指定するクエリでは、エラーが返されます。 次のクエリ演算子は、Queryable Encryption 用に構成された MongoClient を使用する場合、暗号化されたフィールドに対して発行されていない場合でもエラーをスローします。

• $text

• $where

• $jsonSchema

サポートされている更新演算子

自動暗号化用に構成されたドライバーは、暗号化されたフィールドに対して発行された場合、次の更新演算子をサポートします。

• $set

• $unset

暗号化されたフィールドに対して他の更新演算子を指定した更新は、エラーを返します。

次の動作を持つ更新操作では、サポートされている演算子を使用している場合でも、エラーがスローされます。

• 更新操作により、暗号化された パス内に配列が生成されます。

• 更新操作では、 集計式の構文を使用します。

暗号化されたフィールドにクエリフィルターを指定するアップデート操作の場合、クエリフィルターはそれらのフィールドでサポートされている演算子のみを使用する必要があります。

置換スタイルの更新

置換スタイルの更新はサポートされていますが、置換ドキュメントの最上位の暗号化フィールド内にTimestamp(0,0)が含まれている場合は、Queryable Encryption がエラーになります。 (0,0)の値は、 mongodがタイムスタンプを生成する必要があることを示します。 mongodは暗号化されたフィールドを生成できません。

サポートされていない挿入操作

自動暗号化用に構成された互換性ドライバーは、次の動作を持つ挿入コマンドをサポートしていません。

• 暗号化されたフィールドに関連付けられたTimestamp(0,0)を持つドキュメントを挿入します。 (0,0)の値は、 mongodがタイムスタンプを生成する必要があることを示します。 mongodは暗号化されたフィールドを生成できないため、結果のタイムスタンプは暗号化されません。

サポートされていない集計ステージ

自動暗号化では、追加のコレクションからの読み取りやコレクションへの書込みを行う集計ステージはサポートされません。 これらのステージは次のとおりです。

• $out

• $merge

サポートされている集計ステージ

自動暗号化用に構成された互換性のあるドライバーは、次の集計パイプライン ステージをサポートします。

• $addFields

• $bucket

• $bucketAuto

• $collStats

• $count

• $geoNear

• $group 暗号化されていないフィールドの場合

• $indexStats

• $limit

• $lookupと$graphLookup （使用要件については、 $lookupと$graphLookupの動作 を参照してください）

• $match

• $project

• $redact

• $replaceRoot

• $sample

• $skip

• $sort

• $sortByCount

• $unwind

他のステージを指定する自動暗号化用に構成されたコレクションで動作する集計パイプラインでは、 エラーが返されます。

サポートされている各パイプライン ステージごとに、MongoDB はサポートされているパイプラインを通過するときに暗号化する必要があるフィールドを追跡し、それらを暗号化対象としてマークします。

サポートされている各ステージでは、サポートされているクエリ演算子と集計式 のみを指定する必要があります。

サポートされている集計式

自動暗号化用に構成された互換性のあるドライバーは、任意の等価クエリ タイプの暗号化フィールドに対して次の式をサポートします。

• $cond

• $eq

• $ifNull

• $in

• $let

• $literal

• $ne

• $switch

暗号化されたフィールドに対して発行されると、他のすべての集計式はエラーを返します。

次の動作を持つ集計ステージでは、サポートされている集計式を使用していてもエラーが返されます。

$addFields : {
  "valueWithUnknownEncryption" : {
    $cond : {
      if : { "$encryptedField" : "value" },
      then : "$encryptedField",
      else: "unencryptedValue"
    }
  }
},
{
  $match : {
    "valueWithUnknownEncryption" : "someNewValue"
  }
}

{
  $eq : [
    {"newField" : "$encryptedField"},
    {"newField" : "value"
  ]
}

{ $eq : [ "$prefixOfEncryptedField" , "value"] }

{
  $eq : [
      "$encryptedField" ,
      { $ne : [ "field", "value" ] }
  ]
}

{
  $let: {
    "vars" : {
      "newVariable" : "$encryptedField"
    }
  }
}

{
  $in : [
    "$encryptedField" ,
    "$otherEncryptedField"
  ]
}

サポートされていないフィールド型

自動暗号化用に構成されたドライバーは、次の値の型の暗号化を必要とする読み取りまたは書き込み操作をサポートしていません。

• MaxKey

• MinKey

• null

• undefined

Queryable Encryption では、これらの値の型情報は十分に非表示にされません。

Queryable Encryption では、暗号化されたフィールドが次の値の型と比較される操作がある暗号化されたフィールドに対する読み取りまたは書込み操作はサポートされていません。

• array

• decimal128

• double

• object