CSFLE 암호화 스키마

암호화 스키마 - 여러 필드

각 문서가 다음과 같은 구조를 가진 collection MedCo.patients 을 가정해 보겠습니다.

{
  "fname" : "<String>",
  "lname" : "<String>",
  "passportId" : "<String>",
  "bloodType" : "<String>",
  "medicalRecords" : [
    {<object>}
  ],
  "insurance" : {
    "policyNumber" : "<string>",
    "provider" : "<string>"
  }
}

다음 필드에는 쿼리될 수 있는 개인 식별 정보(PII)가 포함되어 있습니다.

• passportId

• bloodType

• insurance.policyNumber

• insurance.provider

결정론적 암호화 알고리즘은 값의 암호화된 출력이 정적으로 유지되도록 보장합니다. 이를 통해 특정 값에 대한 쿼리로 의미 있는 결과를 반환할 수 있지만 빈도 분석 복구에 대한 취약성이 높아집니다. 따라서 결정론적 암호화 알고리즘은 데이터의 암호화 및 쿼리 가능성 요구 사항을 모두 충족합니다.

다음 필드에는 절대 쿼리할 수 없는 법적으로 보호되는 개인 식별 정보(PII)가 포함되어 있습니다.

• medicalRecords

무작위 암호화 알고리즘은 값의 암호화된 출력이 항상 고유하도록 보장합니다. 이렇게 하면 특정 필드 값에 대한 쿼리가 의미 있는 결과를 반환하는 것을 방지하면서 필드 콘텐츠를 최대한 보호할 수 있습니다. 따라서 무작위 암호화 알고리즘은 데이터의 암호화 및 쿼리 가능성 요구 사항을 모두 충족합니다.

다음 스키마는 MedCo.patients collection에 대한 위의 요구 사항을 충족하는 자동 암호화 규칙을 지정합니다.

{
  "MedCo.patients" : {
    "bsonType" : "object",
    "properties" : {
      "passportId" : {
        "encrypt" : {
          "keyId" : [UUID("bffb361b-30d3-42c0-b7a4-d24a272b72e3")],
          "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
          "bsonType" : "string"
        }
      },
      "bloodType" : {
        "encrypt" : {
          "keyId" : [UUID("bffb361b-30d3-42c0-b7a4-d24a272b72e3")],
          "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
          "bsonType" : "string"
        }
      },
      "medicalRecords" : {
        "encrypt" : {
          "keyId" : [UUID("f3821212-e697-4d65-b740-4a6791697c6d")],
          "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Random",
          "bsonType" : "array"
        }
      },
      "insurance" : {
        "bsonType" : "object",
        "properties" : {
          "policyNumber" : {
            "encrypt" : {
              "keyId" : [UUID("bffb361b-30d3-42c0-b7a4-d24a272b72e3")],
              "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
              "bsonType" : "string"
            }
          },
          "provider" : {
            "encrypt" : {
              "keyId" : [UUID("bffb361b-30d3-42c0-b7a4-d24a272b72e3")],
              "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
              "bsonType" : "string"
            }
          }
        }
      }
    }
  }
}

위의 자동 암호화 규칙은 passportId, bloodType, insurance.policyNumber, insurance.provider 및 medicalRecords 필드를 암호화하도록 표시합니다.

• passportId, bloodType, insurance.policyNumber 및 provider 필드에는 지정된 키를 사용한 결정론적 암호화가 필요합니다.

• medicalRecords 필드에는 지정된 키를 사용하여 무작위 암호화해야 합니다.

클라이언트 측 필드 레벨 암호화는 개별 배열 요소 암호화를 지원하지 않지만 무작위 암호화는 필드의 개별 요소가 아닌 전체 배열 필드 암호화를 지원합니다. 자동 암호화 규칙 예제에서는 필드에 무작위 암호화를 지정하여 medicalRecords 전체 배열을 암호화합니다. 자동 암호화 규칙이 encrypt encryptMetadata medicalRecords.items 또는 medicalRecords.additionalItems 내에 { 또는 를 지정한 경우 자동 필드 수준 암호화가 실패하고 오류를 반환합니다.

공식 MongoDB 4.2 이상의 호환 드라이버, mongosh 및 4.2 이상 레거시 mongo 셸에서는 데이터베이스 연결 객체를 생성할 때 자동 암호화 규칙을 지정해야 합니다.

• mongosh 의 경우 Mongo() 생성자를 사용하여 데이터베이스 연결을 만듭니다. AutoEncryptionOpts 매개변수의 schemaMap 키에 자동 암호화 규칙을 지정합니다. See Connect to a Cluster with Automatic Client-Side Encryption Enabled for a complete example.

• 공식 MongoDB 4.2+ 호환 드라이버의 경우 드라이버별 데이터베이스 연결 생성자( MongoClient )를 사용하여 클라이언트 사이드 필드 레벨 암호화 구성 객체의 일부로 포함된 자동 암호화 규칙으로 데이터베이스 연결을 만듭니다. 자세한 내용은 드라이버 API 참조 문서를 참조하세요.

모든 클라이언트의 경우, 클라이언트 측 필드 레벨 암호화 매개변수에 지정된 keyVault 및 kmsProviders 는 자동 암호화 규칙에 지정된 데이터 암호화 키 와 데이터 암호화 키를 암호화하는 데 사용되는 고객 마스터 키 모두에 대한 액세스 권한을 부여 해야 합니다 .

암호화 스키마 - 상속이 있는 여러 필드

각 문서가 다음과 같은 구조를 가진 collection MedCo.patients 을 가정해 보겠습니다.

{
  "fname" : "<String>",
  "lname" : "<String>",
  "passportId" : "<String>",
  "bloodType" : "<String>",
  "medicalRecords" : [
    {<object>}
  ],
  "insurance" : {
    "policyNumber" : "<string>",
    "provider" : "<string>"
  }
}

다음 필드에는 쿼리될 수 있는 비공개 데이터가 포함되어 있습니다.

• passportId

• bloodType

• insurance.policyNumber

• insurance.provider

결정론적 암호화 알고리즘은 값의 암호화된 출력이 정적으로 유지되도록 보장합니다. 이를 통해 특정 값에 대한 쿼리로 의미 있는 결과를 반환할 수 있지만 빈도 분석 복구에 대한 취약성이 높아집니다. 따라서 결정론적 암호화 알고리즘은 데이터의 암호화 및 쿼리 가능성 요구 사항을 모두 충족합니다.

다음 필드에는 절대 쿼리할 수 없는 비공개 데이터가 포함되어 있습니다.

• medicalRecords

무작위 암호화 알고리즘은 값의 암호화된 출력이 항상 고유하도록 보장합니다. 이렇게 하면 특정 필드 값에 대한 쿼리가 의미 있는 결과를 반환하는 것을 방지하면서 필드 콘텐츠를 최대한 보호할 수 있습니다. 따라서 무작위 암호화 알고리즘은 데이터의 암호화 및 쿼리 가능성 요구 사항을 모두 충족합니다.

다음 스키마는 MedCo.patients 컬렉션의 암호화 요구 사항을 충족하는 자동 암호화 규칙을 지정합니다.

{
  "MedCo.patients" : {
    "bsonType" : "object",
    "encryptMetadata" : {
      "keyId" : [UUID("6c512f5e-09bc-434f-b6db-c42eee30c6b1")],
      "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic"
    },
    "properties" : {
      "passportId" : {
        "encrypt" : {
          "bsonType" : "string"
        }
      },
      "bloodType" : {
        "encrypt" : {
          "bsonType" : "string"
        }
      },
      "medicalRecords" : {
        "encrypt" : {
          "keyId" : [UUID("6c512f5e-09bc-434f-b6db-c42eee30c6b1")],
          "algorithm" : "AEAD_AES_256_CBC_HMAC_SHA_512-Random",
          "bsonType" : "array"
        }
      },
      "insurance" : {
        "bsonType" : "object",
        "properties" : {
          "policyNumber" : {
            "encrypt" : {
              "bsonType" : "string"
            }
          },
          "provider" : {
            "encrypt" : {
              "bsonType" : "string"
            }
          }
        }
      }
    }
  }
}

위의 자동 암호화 규칙은 passportId, bloodType, insurance.policyNumber, insurance.provider 및 medicalRecords 필드를 암호화하도록 표시합니다.

• passportId, bloodType, insurance.policyNumber 및 provider 필드는 상위 encryptMetadata 필드에서 암호화 설정을 상속합니다. 특히 이러한 필드는 지정된 데이터 암호화 키를 사용하여 결정적 암호화를 지정하는 algorithm 및 keyId 값을 상속합니다.

• medicalRecords 필드에는 지정된 키를 사용하여 무작위 암호화해야 합니다. encrypt 옵션은 상위 encryptMetadata 필드에 지정된 옵션을 재정의합니다.

클라이언트 측 필드 레벨 암호화는 개별 배열 요소 암호화를 지원하지 않지만 무작위 암호화는 필드의 개별 요소가 아닌 전체 배열 필드 암호화를 지원합니다. 자동 암호화 규칙 예제에서는 필드에 무작위 암호화를 지정하여 medicalRecords 전체 배열을 암호화합니다. 자동 암호화 규칙이 encrypt encryptMetadata medicalRecords.items 또는 medicalRecords.additionalItems 내에 { 또는 를 지정한 경우 자동 필드 수준 암호화가 실패하고 오류를 반환합니다.

공식 MongoDB 4.2 이상의 호환 드라이버, mongosh 및 4.2 이상 레거시 mongo 셸에서는 데이터베이스 연결 객체를 생성할 때 자동 암호화 규칙을 지정해야 합니다.

• mongosh 의 경우 Mongo() 생성자를 사용하여 데이터베이스 연결을 만듭니다. AutoEncryptionOpts 매개변수의 schemaMap 키에 자동 암호화 규칙을 지정합니다. See Connect to a Cluster with Automatic Client-Side Encryption Enabled for a complete example.

• 공식 MongoDB 4.2+ 호환 드라이버의 경우 드라이버별 데이터베이스 연결 생성자( MongoClient )를 사용하여 클라이언트 사이드 필드 레벨 암호화 구성 객체의 일부로 포함된 자동 암호화 규칙으로 데이터베이스 연결을 만듭니다. 자세한 내용은 드라이버 API 참조 문서를 참조하세요.

모든 클라이언트의 경우, 클라이언트 측 필드 레벨 암호화 매개변수에 지정된 keyVault 및 kmsProviders 는 자동 암호화 규칙에 지정된 데이터 암호화 키 와 데이터 암호화 키를 암호화하는 데 사용되는 고객 마스터 키 모두에 대한 액세스 권한을 부여 해야 합니다 .

고객 마스터 키 및 키 볼트 컬렉션에 대해 자세히 알아보려면 키 볼트 페이지를 참조하세요.

암호화 알고리즘에 대해 자세히 알아보려면 암호화 알고리즘 페이지를 참조하세요.

CSFLE 관련 MongoClient 옵션에 대해 자세히 알아보려면 mongo 클라이언트 페이지를 참조하세요.

암호화 스키마 - 패턴 속성을 사용하여 암호화

암호화 스키마에서 patternProperties 키워드를 사용하여 정규 표현식과 일치하는 이름을 가진 모든 필드에 대한 암호화 규칙을 정의할 수 있습니다.

각 문서가 다음과 같은 구조를 가진 collection MedCo.patients 을 가정해 보겠습니다.

{
  "fname" : "<string>",
  "lname" : "<string>",
  "passportId_PIIString" : "<string>",
  "bloodType_PIIString" : "<string>",
  "medicalRecords_PIIArray" : [
    {<object>}
  ],
  "insurance" : {
    "policyNumber_PIINumber" : "<number>",
    "provider_PIIString" : "<string>"
  }
}

비공개 데이터가 포함된 필드는 필드 이름 끝에 "_PII<type>" 태그가 추가되어 식별됩니다.

• passportId_PIIString

• bloodType_PIIString

• medicalRecords_PIIArray

• insurance.policyNumber_PIINumber

• insurance.provider_PIIString

patternProperties 키워드를 사용하면 각 필드를 개별적으로 식별하거나 전체 필드 이름을 사용하지 않고도 이러한 필드를 암호화하도록 구성할 수 있습니다. "_PII<type>" 태그로 끝나는 모든 필드와 일치하는 정규 표현식을 사용하여 이 작업을 수행합니다.

다음 JSON schema는 patternProperties 및 정규 표현식을 사용하여 암호화할 필드를 지정합니다.

{
  "MedCo.patients": {
  "bsonType": "object",
  "patternProperties": {
    "_PIIString$": {
      "encrypt": {
        "keyId": [UUID("6c512f5e-09bc-434f-b6db-c42eee30c6b1")],
        "bsonType": "string",
        "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
      },
    },
    "_PIIArray$": {
      "encrypt": {
        "keyId": [UUID("6c512f5e-09bc-434f-b6db-c42eee30c6b1")],
        "bsonType": "array",
        "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Random",
      },
    },
    "insurance": {
      "bsonType": "object",
      "patternProperties": {
        "_PIINumber$": {
          "encrypt": {
            "keyId": [UUID("6c512f5e-09bc-434f-b6db-c42eee30c6b1")],
            "bsonType": "int",
            "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
          },
        },
        "_PIIString$": {
          "encrypt": {
            "keyId": [UUID("6c512f5e-09bc-434f-b6db-c42eee30c6b1")],
            "bsonType": "string",
            "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
          },
        },
      },
    },
  },
  },
}

위의 자동 암호화 규칙은 passportId_PIIString, bloodType_PIIString, medicalRecords_PIIArray, insurance.policyNumber_PIINumber, insurance.provider_PIIString 필드를 암호화를 위해 표시합니다.

patternProperties 키워드에 대해 자세히 알아보려면 patternProperties 키워드를 참조하세요.