필드 암호화 및 쿼리 가능성

개요

다음 Queryable Encryption 주제에 대해 알아보세요.

• 암호화된 필드에서 쿼리를 사용하도록 설정할 때 고려할 사항입니다.

• 암호화할 필드를 지정하는 방법입니다.

• 쿼리할 수 있도록 암호화된 필드를 구성하는 방법입니다.

• 쿼리 유형 및 암호화된 필드에 사용할 수 있는 쿼리 유형입니다.

• 암호화된 필드에서 쿼리 성능을 최적화하는 방법입니다.

쿼리 사용 시 고려 사항

Queryable Encryption을 사용하면 암호화된 필드를 쿼리 가능하게 만들지 여부를 선택할 수 있습니다. 암호화된 필드를 쿼리해야 하는 CRUD 작업을 수행할 필요가 없는 경우에는 해당 필드에서 쿼리를 사용하도록 설정하지 않아도 됩니다. 쿼리 가능하거나 암호화되지 않은 다른 필드를 쿼리하여 전체 문서를 조회할 수 있습니다.

암호화된 필드를 쿼리 가능하게 설정하면 Queryable Encryption은 암호화된 각 필드에 대한 인덱스를 생성하므로 해당 필드에 대한 쓰기 작업이 더 오래 걸릴 수 있습니다. 쓰기 작업이 인덱싱된 필드를 업데이트하면 MongoDB도 관련 인덱스를 업데이트합니다.

암호화된 컬렉션을 만들면 MongoDB는 두 개의 메타데이터 컬렉션을 생성하므로 스토리지 요구 사항이 증가합니다.

암호화할 필드 지정

Queryable Encryption을 사용하면 JSON 암호화 스키마를 사용하여 MongoDB 문서에서 자동으로 암호화할 필드를 지정할 수 있습니다. 암호화 스키마는 암호화되는 필드와 해당 필드에 사용할 수 있는 쿼리를 정의합니다.

암호화 및 쿼리를 위한 필드를 지정하려면 다음 속성을 포함하는 암호화 스키마를 생성하세요.

{
   "firstName": "Jon",
   "lastName": "Snow",
   "patientId": 12345187,
   "address": "123 Cherry Ave",
   "medications": [
      "Adderall",
      "Lipitor"
   ],
   "patientInfo": {
      "ssn": "921-12-1234",
      "billing": {
            "type": "visa",
            "number": "1234-1234-1234-1234"
      }
   }
}

const encryptedFieldsObject = {
   fields: [
      {
         path: "patientId",
         keyId: "<unique data encryption key>",
         bsonType: "int"
      },
      {
         path: "patientInfo.ssn",
         keyId: "<unique data encryption key>",
         bsonType: "string"
      },
      {
         path: "medications",
         keyId: "<unique data encryption key>",
         bsonType: "array"
      },
      {
         path: "patientInfo.billing",
         keyId: "<unique data encryption key>",
         bsonType: "object"
      }
   ]
}

쿼리를 위한 필드 구성

필드를 쿼리할 수 있도록 설정하려면 필드에 queries 속성을 포함하세요. 이렇게 하면 권한이 부여된 클라이언트가 해당 필드에 대해 읽기 및 쓰기 쿼리를 실행할 수 있습니다. queries 속성을 생략하면 클라이언트가 필드를 쿼리할 수 없습니다.

const encryptedFieldsObject = {
   fields: [
      {
         path: "patientId",
         bsonType: "int",
         queries: { queryType: "equality" }
      },
      {
         path: "patientInfo.ssn",
         bsonType: "string",
         queries: { queryType: "equality" }
      },
      {
         path: "medications",
         bsonType: "array"
      },
      {
         path: "patientInfo.billing",
         bsonType: "object"
      },
   ]
}

경합

동일한 필드/값 쌍을 여러 문서에 연속적으로 삽입하는 등의 동시 쓰기 작업은 경합(충돌로 인해 작업이 지연되는 현상)을 일으킬 수 있습니다.

Queryable Encryption을 사용하면 MongoDB는 내부 카운터를 사용하여 암호화된 컬렉션의 각 필드/값 쌍의 발생을 추적합니다. 경합 요인은 배열과 유사하게 이 카운터를 분할합니다. 이렇게 하면 insert, update 또는 findAndModify 를 사용하여 동일한 필드/값 쌍이 있는 암호화된 필드를 연속해서 추가하거나 수정할 때 카운터 증분과 관련된 문제를 최소화합니다. contention = 0 은 인덱스 0 에 하나의 요소가 있는 배열을 만듭니다. contention = 4 는 인덱스 0-4 에 5 요소가 있는 배열을 만듭니다. MongoDB는 삽입 중에 임의의 배열 요소를 증가시킵니다.

설정하지 않으면 contention 기본값은 8 으로, 대부분의 워크로드에 고성능을 제공합니다. 경합이 높으면 카디널리티가 낮은 필드에서 삽입 및 업데이트 작업의 성능이 향상되지만 찾기 성능이 저하됩니다.

클라이언트 및 서버 스키마

MongoDB는 스키마 유효성 검사를 사용하여 컬렉션의 특정 필드에 암호화를 시행하는 기능을 지원합니다. 자동 Queryable Encryption을 사용하는 클라이언트는 데이터베이스 연결 구성에 따라 특정 동작을 수행합니다.

• 연결 encryptedFieldsMap 객체에 지정된 컬렉션에 대한 키가 포함되어 있으면 클라이언트는 원격 스키마를 사용하는 대신 해당 객체를 사용하여 자동 Queryable Encryption을 수행합니다. 최소한 로컬 규칙은 원격 스키마가 암호화가 필요하다고 표시하는 필드를 암호화해야 합니다.

• 연결 encryptedFieldsMap 객체에 지정된 컬렉션의 키가 포함되어 있지 않은 경우 클라이언트는 컬렉션에 대한 서버측 원격 스키마를 다운로드하고 이를 사용하여 자동 Queryable Encryption을 수행합니다.

  중요

  동작 고려 사항

  클라이언트에 지정된 컬렉션에 대한 암호화 스키마가 없으면 다음과 같은 상황이 발생합니다.

  • 클라이언트는 자동 Queryable Encryption과 관련하여 서버에 유효한 스키마가 있음을 신뢰합니다.

  • 클라이언트는 원격 스키마를 사용하여 자동 Queryable Encryption만 수행합니다. 클라이언트는 스키마에 지정된 다른 유효성 검사 규칙을 적용하지 않습니다.

자동 Queryable Encryption에 대해 자세히 알아보려면 다음 리소스를 참조하세요.

• Queryable Encryption 소개

• 빠른 시작

Queryable Encryption 활성화

컬렉션 생성 전에 Queryable Encryption을 사용하도록 설정합니다. 컬렉션을 생성한 후 Queryable Encryption을 활성화해도 해당 컬렉션에 이미 있던 문서의 필드는 암호화되지 않습니다. 다음 두 가지 방법 중 하나로 필드에서 Queryable Encryption을 사용하도록 설정할 수 있습니다.

• 애플리케이션이 컬렉션을 만드는 데 사용하는 클라이언트에 encryptedFieldsObject 상수로 표시되는 암호화 스키마를 전달합니다.

const client = new MongoClient(uri, {
   autoEncryption: {
      keyVaultNameSpace: "<your keyvault namespace>",
      kmsProviders: "<your kms provider>",
      extraOptions: {
         cryptSharedLibPath: "<path to Automatic Encryption Shared Library>"
      },
      encryptedFieldsMap: {
         "<databaseName.collectionName>": { encryptedFieldsObject }
      }
   }
   ...
   await client.db("<database name>").createCollection("<collection name>");
}

autoEncryption 구성 옵션에 대한 자세한 내용은 Queryable Encryption용 MongoClient 옵션 섹션을 참조하세요.

• 암호화된 필드 객체를 createCollection()에 전달하여 새 컬렉션을 생성합니다.

await encryptedDB.createCollection("<collection name>", {
   encryptedFields: encryptedFieldsObject
});