Chaves e cofres de chaves

Visão geral

Este guia contém mais informações sobre os seguintes componentes da criptografia no nível do campo do lado do cliente (CSFLE):

• Chaves de criptografia de dados (DEK)s

• Chaves mestras do cliente (CMK)s

• Key Vault collections

• Sistema de Gerenciamento de Chaves (KMS)

Para exibir guias passo a passo demonstrando como usar os componentes anteriores para configurar um cliente habilitado para CSFLE, consulte os seguintes recursos:

• Início rápido

• Tutoriais

Chaves

Seu diretório de dados (DEK) é a chave que o MongoDB usa para criptografar o campo em seu documento. Você armazena sua DEK em um documento na coleção do Key Vault, criptografado com sua chave mestra do cliente (CMK).

Sua Chave mestra do cliente é a chave que o MongoDB usa para criptografar suas Chaves de encriptação de dados durante a criação. Sem acesso a um CMK, seu aplicativo cliente não pode descriptografar os DEKs associados.

Se você excluir uma DEK, todos os campos criptografados com essa DEK ficarão permanentemente ilegíveis. Se você excluir uma CMK, todos os campos criptografados com uma DEK usando essa CMK se tornarão permanentemente ilegíveis.

Para exibir diagramas detalhando como sua collection DEK, CMK e Key Vault interagem em todas as arquiteturas de provedor KMS compatíveis, consulte Provedores KMS CSFLE.

Key Vault Collections

A Key Vault collection é a collection do MongoDB que você usa para armazenar documentos criptografados de Data Encryption Key (DEK). Documentos DEK são documentos BSON que contêm DEKs e possuem a seguinte estrutura:

{
  "_id" : UUID(<string>),
  "status" : <int>,
  "masterKey" : {<object>},
  "updateDate" : ISODate(<string>),
  "keyMaterial" : BinData(0,<string>),
  "creationDate" : ISODate(<string>),
  "keyAltNames" : <array>
}

Crie uma collection de cofre de chaves igual criaria uma collection padrão do MongoDB. Sua collection de cofre de chaves deve ter um índice único no campo keyAltNames . Para conferir se o índice único existe, execute o comando listIndexes na collection de cofre de chaves:

1
db.runCommand({
2
   listIndexes: "__keyVault",
3
});

1
{
2
   cursor: {
3
      id: Long("0"),
4
      ns: 'encryption.__keyVault',
5
      firstBatch: [
6
         { v: 2, key: { _id: 1 }, name: '_id_' }
7
         ]
8
   },
9
   ok: 1,
10
}

Se o índice único não existir, seu aplicativo deverá criá-lo antes de executar o gerenciamento DEK.

Para saber como criar uma collection do MongoDB, consulte Bancos de dados e coleções.