Docs Menu
Docs Home
/
MongoDB 매뉴얼
/
보안
/
암호화 (Encryption)
/
사용 중 암호화
/
Queryable Encryption
/
참조

Queryable Encryption에 지원되는 작업

이 페이지의 내용

  • 다음을 사용하는 작업 BinData
  • 지원되는 읽기 및 쓰기 명령
  • 지원되는 쿼리 연산자
  • 지원되는 업데이트 연산자
  • 교체 스타일 업데이트
  • 지원되지 않는 삽입 작업
  • 지원되지 않는 집계 단계
  • 지원되는 집계 단계
  • $lookup 및 $graphLookup 동작
  • 지원되는 집계 표현식
  • 지원되지 않는 필드 유형

이 문서에서는 Queryable Encryption 호환 드라이버에 지원되는 특정 명령, 쿼리 연산자, 업데이트 연산자, 애그리게이션 단계 및 애그리게이션 표현식을 설명합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise 및 MongoDB Atlas에서 자동 암호화 사용 가능

다음을 사용하는 작업 BinData

MongoDB는 Queryable Encryption으로 암호화된 필드를 BinData 블롭으로 저장합니다. 암호화된 BinData 값에 대해 실행된 읽기 및 쓰기 작업은 해독된 값에 대해 동일한 작업을 실행하는 것에 비해 예기치 않거나 부정확한 동작을 가질 수 있습니다. 특정 작업은 BinData 값에 대해 실행하면 오류가 반환되는 엄격한 BSON 유형 지원이 있습니다. Queryable Encryption과 호환되는 공식 드라이버는 BinData 값을 지원하지 않거나 BinData 값에 대해 실행될 때 비정상적인 동작을 보이는 연산자 또는 표현식에 대한 읽기 및 쓰기 작업을 구문 분석합니다.

명시적 암호화를 사용하는 애플리케이션은 이 페이지를 암호화된 필드에 읽기 및 쓰기 작업을 실행하기 위한 지침으로 사용할 수 있습니다.

지원되는 읽기 및 쓰기 명령

Queryable Encryption 호환 드라이버는 다음 명령을 사용하여 자동 암호화를 지원합니다.

지원되는 명령에 대해, 해당 명령이 지원되지 않는 연산자, 애그리게이션 단계 또는 애그리게이션 표현식을 사용하면 드라이버에서 오류를 반환합니다. 지원되는 연산자, 단계 및 표현식의 전체 목록은 다음 섹션을 참조하세요.

  • 지원되는 쿼리 연산자

  • 지원되는 업데이트 연산자

  • 지원되는 집계 단계

  • 지원되는 집계 표현식

다음 명령은 자동 암호화가 필요하지 않습니다. 자동 암호화를 위해 구성된 공식 드라이버는 이러한 명령을 mongod 에 직접 전달합니다.

자동 암호화를 위해 구성된 호환 드라이버를 통해 다른 명령을 실행하면 오류가 반환됩니다.

[1] 자동 암호화는 getMore 명령을 암호화하지 않지만 명령에 대한 응답에는 암호화된 필드 값이 포함될 수 있습니다.
  • 올바른 Queryable Encryption 옵션으로 구성된 애플리케이션은 해당 값을 자동으로 해독합니다.
  • 올바른 암호화 옵션이 없는 애플리케이션에는 암호화된 값이 표시됩니다.

Queryable Encryption을 사용하는 샤딩된 클러스터 트랜잭션의 경우 ReadConcern을 snapshot(으)로 설정해야 합니다.

지원되는 쿼리 연산자

자동 암호화되도록 구성된 드라이버는 암호화된 쿼리 가능 필드에 대해 실행될 때 다음 쿼리 연산자를 지원합니다.

중요

비교 지원

한 암호화된 필드와 다른 암호화된 필드의 비교는 실패합니다.

{$expr: {$eq: ["$encrypted1", "$encrypted2"]}}

암호화된 필드와 일반 텍스트 값의 비교가 지원됩니다.

{$expr: {$eq: ["$encrypted1", "plaintext_value"]}}

암호화된 필드를 null 또는 정규 표현식과 비교하는 쿼리는 지원되는 쿼리 연산자를 사용하더라도 항상 오류를 발생시킵니다.

$exists 연산자는 암호화된 필드에 대해 실행될 때 정상적인 동작을 합니다.

암호화된 필드에 대해 다른 쿼리 연산자를 지정하는 쿼리는 오류를 반환합니다. 다음 쿼리 연산자는 Queryable Encryption용으로 구성된 MongoClient를 사용할 때 암호화된 필드에 대해 실행되지 않은 경우에도 오류를 발생시킵니다.

지원되는 업데이트 연산자

자동 암호화하도록 구성된 드라이버는 암호화된 필드에 대해 실행될 때 다음 업데이트 연산자를 지원합니다.

암호화된 필드에 대해 다른 업데이트 연산자를 지정하는 업데이트는 오류를 반환합니다.

지원되는 연산자를 사용하더라도 다음 동작이 있는 업데이트 작업은 오류를 발생시킵니다.

  • 업데이트 작업은 암호화된 경로 내부에 배열을 생성합니다.

  • 업데이트 작업은 집계 식 구문을 사용합니다.

암호화된 필드에 쿼리 필터 를 지정하는 업데이트 작업의 경우 쿼리 필터는 해당 필드에 지원되는 연산자 만 사용해야 합니다.

교체 스타일 업데이트

대체 스타일의 업데이트가 지원되지만, 대체 문서의 최상위 암호화된 필드 내에 Timestamp(0,0) 가 포함되어 있으면 Queryable Encryption 오류가 발생합니다. (0,0) 값은 mongod 에서 타임스탬프를 생성해야 함을 나타냅니다. mongod 은(는) 암호화된 필드를 생성할 수 없습니다.

지원되지 않는 삽입 작업

자동 암호화를 위해 구성된 호환 드라이버는 다음 동작이 포함된 삽입 명령을 지원하지 않습니다.

  • 암호화된 필드에 연결된 Timestamp(0,0) 가 있는 문서를 삽입하는 중입니다. (0,0) 값은 mongod 에서 타임스탬프를 생성해야 함을 나타냅니다. mongod 는 암호화된 필드를 생성할 수 없으므로 결과 타임스탬프는 암호화되지 않습니다.

지원되지 않는 집계 단계

자동 암호화는 추가 컬렉션에서 읽거나 쓰는 애그리게이션 단계를 지원하지 않습니다. 이러한 단계는 다음과 같습니다.

지원되는 집계 단계

자동 암호화를 위해 구성된 호환 드라이버는 다음 집계 파이프라인 단계를 지원합니다.

다른 단계를 지정하는 자동 암호화로 구성된 collection에서 작동하는 집계 파이프라인이 오류를 반환합니다.

지원되는 각 파이프라인 단계에서 MongoDB는 지원되는 파이프라인을 통과할 때 암호화해야 하는 필드를 추적하여 암호화 대상으로 표시합니다.

지원되는 각 단계에서는 지원되는 쿼리 연산자와 집계 표현식만 지정해야 합니다.

$lookup 및 $graphLookup 동작

자동 암호화는 $lookup $graphLookup from collection이 집계가 실행되는 collection과 일치하는 경우에만 및 를 지원합니다. 다른 from 컬렉션을 참조하는 $lookup 및 $graphLookup 단계는 오류를 반환합니다.

자동 암호화는 다음과 같이 특정 collection과 관련이 없는 메타데이터를 읽는 '연결이 없는' 애그리게이션 메타데이터 소스를 지원하지 않습니다.

결과에 민감한 정보가 포함될 수 있으므로 자동 암호화는 $planCacheStats 단계를 지원하지 않습니다.

암호화되지 않은 collection에 대해 Queryable Encryption이 활성화된 MongoClient 에서 $lookup 를 수행할 수 없습니다.

지원되는 집계 표현식

자동 암호화를 위해 구성된 호환 드라이버는 모든 동일성 쿼리 유형으로 암호화된 필드에 대해 다음 표현식을 지원합니다.

다른 모든 집계 표현식은 암호화된 필드에 대해 실행된 경우 오류를 반환합니다.

다음과 같은 동작을 하는 집계 단계는 지원되는 집계 표현식을 사용하더라도 오류를 반환합니다.

표현식
거부된 동작
예시
이 표현식은 런타임까지 암호화 속성을 알 수 없는 필드를 지정하고 후속 집계 단계에 해당 필드를 참조하는 표현식을 포함합니다.
$addFields : {
  "valueWithUnknownEncryption" : {
    $cond : {
      if : { "$encryptedField" : "value" },
      then : "$encryptedField",
      else: "unencryptedValue"
    }
  }
},
{
  $match : {
    "valueWithUnknownEncryption" : "someNewValue"
  }
}
표현식은 암호화된 필드를 참조하는 새 필드 생성 및 동일한 표현식의 해당 새 필드에서 작동합니다.
{
  $eq : [
    {"newField" : "$encryptedField"},
    {"newField" : "value"
  ]
}
표현식은 비교 표현식 내에서 암호화된 필드의 접두사를 참조합니다.
{ $eq : [ "$prefixOfEncryptedField" , "value"] }
표현식의 결과는 암호화된 필드와 비교됩니다.
{
  $eq : [
      "$encryptedField" ,
      { $ne : [ "field", "value" ] }
  ]
}
표현식은 변수를 암호화된 필드에 바인딩하거나$$CURRENT 재바인딩을 시도합니다.
{
  $let: {
    "vars" : {
      "newVariable" : "$encryptedField"
    }
  }
}

표현식의 첫 번째 인수는 암호화된 필드이며

  • 표현식의 두 번째 인수가 배열 리터럴이 아닙니다 .

    -또는-

  • 표현식의 두 번째 인수는 암호화된 필드입니다.

{
  $in : [
    "$encryptedField" ,
    "$otherEncryptedField"
  ]
}

지원되지 않는 필드 유형

자동 암호화하도록 구성된 드라이버는 다음 값 유형을 암호화해야 하는 읽기 또는 쓰기 작업을 지원하지 않습니다 .

Queryable Encryption은 이러한 값에 대한 유형 정보를 적절히 숨기지 않습니다.

Queryable Encryption은 암호화된 필드를 다음 값 유형과 비교하는 암호화된 필드에 대한 읽기 또는 쓰기 작업을 지원하지 않습니다.

  • array

  • decimal128

  • double

  • object

돌아가기

Queryable Encryption 제한

다음

MongoClientOptions