自動暗号化がサポートする操作

サポートされている読み取りコマンドと書込みコマンド

自動クライアント側フィールドレベル暗号化を使用するドライバーは、次のコマンドをサポートします。

• aggregate

• count

• delete

• distinct

• explain

• find

• findAndModify

• insert

• update

サポートされている コマンドではいずれの コマンドでも、サポート対象外の演算子、集計ステージ、または集計式が使用されている場合、ドライバーはエラーを返します。 サポートされている演算子、ステージ、および式の完全なリストについては、このページの次のセクションを参照してください。

• サポートされているクエリ演算子

• サポートされている更新演算子

• サポートされている集計ステージ

• サポートされている集計式

次のコマンドには自動暗号化は必要ありません。 自動クライアント側フィールドレベル暗号化用に構成されたドライバーは、これらのコマンドを直接mongodに直接渡します。

• getMore [1]

• authenticate

• hello

• logout

• abortTransaction

• commitTransaction

• endSessions

• startSession

• create

• createIndexes

• drop

• dropDatabase

• dropIndexes

• killCursors

• listCollections

• listDatabases

• listIndexes

• renameCollection

• ping

自動クライアント側フィールドレベル暗号化用に構成されたドライバーを介して他のコマンドを発行すると、エラーが返されます。

サポートされているクエリ演算子

自動クライアント側フィールドレベル暗号化用に構成されたドライバーでは、確定的に暗号化されたフィールドに対して発行された場合、次のクエリ演算子を使用できます。

• $eq

• $ne

• $in

• $nin

• $and

• $or

• $not

• $nor

暗号化されたフィールドをnullまたは正規表現と比較するクエリでは、サポートされているクエリ演算子を使用している場合でも、常にエラーが返されます。 ランダムに暗号化されたフィールドに対してこれらの演算子を発行するクエリは、エラーを返します。

$exists演算子は、確定的に暗号化されたフィールドとランダムに暗号化されたフィールドの両方に対して発行された場合、通常の動作をします。

暗号化されたフィールドに対して他のクエリ演算子を指定するクエリでは、エラーが返されます。

次のクエリ演算子は、暗号化されたフィールドに対して発行されていない場合でも、エラーを返します。

• $text

• $where

• $jsonSchema

サポートされていない挿入操作

自動クライアント側フィールドレベル暗号化用に構成されたドライバーは、次の動作を持つ挿入コマンドをサポートしていません。

• 暗号化されたフィールドに関連付けられたTimestamp(0,0)を持つドキュメントを挿入します。 (0,0)の値は、 mongodがタイムスタンプを生成する必要があることを示します。 mongodが暗号化されたフィールドを生成できない場合、結果のタイムスタンプは暗号化されません。

• 構成された自動スキーマで暗号化された_idフィールドが指定されている場合は、暗号化された_idなしでドキュメントを挿入します。 mongodが暗号化されていないObjectIdを自動的に生成する場合、ドキュメントから_idを省略すると、自動暗号化ルールに準拠していないドキュメントが生成されます。

• 決定的に暗号化されたフィールドに関連付けられた配列を持つドキュメントを挿入します。 クライアント側の自動フィールドレベル暗号化は、配列の決定的な暗号化をサポートしていません。

サポートされている更新演算子

自動クライアント側フィールドレベル暗号化用に構成されたドライバーでは、確定的に暗号化されたフィールドに対して発行された場合、次の更新演算子が可能になります。

• $set

• $unset

• $rename

暗号化されたフィールドで$rename演算子を使用する場合、自動JSON schemaはソース フィールド名とターゲット フィールド名に対して同じ暗号化メタデータを指定する必要があります。

暗号化されたフィールドに対して他の更新演算子を指定した更新は、エラーを返します。

次の動作を持つ更新操作では、サポートされている演算子を使用している場合でも、エラーが返されます。

• 更新操作により、暗号化された パス内に配列が生成されます。

• 更新操作では、 集計式の構文を使用します。

確定的に暗号化されたフィールドにクエリフィルターを指定するアップデート操作の場合、クエリフィルターはそれらのフィールドでサポートされている演算子のみを使用する必要があります。

サポートされている集計ステージ

自動クライアント側フィールドレベル暗号化用に構成されたドライバーは、次の集計パイプライン ステージをサポートします。

• $addFields

• $bucket

• $bucketAuto

• $collStats

• $count

• $geoNear

• $group （使用要件については、「 $groupの動作 」を参照してください）

• $indexStats

• $limit

• $lookupと$graphLookup （使用要件については、「 $lookupと$graphLookupの動作 」を参照してください）

• $match

• $project

• $redact

• $replaceRoot

• $sample

• $skip

• $sort

• $sortByCount

• $unwind

他のステージを指定する自動暗号化用に構成されたコレクションを操作するパイプラインは、 エラーを返します。

サポートされている各パイプライン ステージごとに、MongoDB はサポートされているパイプラインを通過するときに暗号化する必要があるフィールドを追跡し、それらを暗号化対象としてマークします。

サポートされている各ステージでは、サポートされているクエリ演算子と集計式 のみを指定する必要があります。

$addFields : {
  "valueWithUnknownEncryption" : {
    $cond : {
      if : { "$encryptedField" : "value" },
      then : "$encryptedField",
      else: "unencryptedValue"
    }
  }
},
{
  $match : {
    "valueWithUnknownEncryption" : "someNewValue"
  }
}

{
  $eq : [
    {"newField" : "$encryptedField"},
    {"newField" : "value"
  ]
}

{ $eq : [ "$prefixOfEncryptedField" , "value"] }

{
  $eq : [
      "$encryptedField" ,
      { $ne : [ "field", "value" ] }
  ]
}

{
  $let: {
    "vars" : {
      "newVariable" : "$encryptedField"
    }
  }
}

{
  $in : [
    "$encryptedField" ,
    "$otherEncryptedField"
  ]
}

サポートされていないフィールド型

自動クライアント側フィールドレベル暗号化（CSFLE）用に構成されたドライバーは、次の値の型の暗号化を必要とする読み取りまたは書込み操作をサポートしていません。

• MaxKey

• MinKey

• null

• undefined

暗号化では、これらの値の型情報が十分に非表示にされません。

CSFLE は、ドキュメントの配列内のフィールドの自動暗号化をサポートしていません。

自動 CSFLE では、暗号化されたフィールドが次の値の型と比較される、決定的に暗号化されたフィールドに対する読み取りまたは書込み操作もサポートされていません。

• array

• bool

• decimal128

• double

• object