Gerenciamento das chaves de criptografia

Componentes de criptografia

O MongoDB usa os seguintes componentes para executar a Queryable Encryption:

• Data Encryption Keys (DEK)s

• Chaves mestras do cliente (CMK)s

• Key Vault collections

• Sistema de Gerenciamento de Chaves (KMS)

Para saber mais sobre chaves e cofres de chaves, consulte Chaves e cofres de chaves .

Rotacionar chaves de criptografia usando o mongosh

Você pode girar chaves de encriptação utilizando o método KeyVault.rewrapManyDataKey() . O método rewrapManyDataKey descriptografa automaticamente diversas chaves de dados e as criptografa novamente usando uma chave mestra do cliente especificada. Em seguida, ele atualiza as chaves giradas na key vault collection. Este método permite girar chaves de encriptação com base em dois argumentos opcionais:

• Um documento de filtro de query usado para especificar quais chaves devem ser rotacionadas. Se nenhuma chave de dados corresponder ao filtro fornecido, nenhuma chave será rotacionada. Omita o filtro para rotacionar todas as chaves na sua collection de cofre de chaves.

• Um objeto que representa uma nova CMK. Omitir este objeto para rotacionar as chaves de dados usando suas CMKs atuais.

O método rewrapManyDataKey tem a seguinte sintaxe:

let keyVault = db.getMongo().getKeyVault()
keyVault.rewrapManyDataKey(
   {
      "<Your custom filter>"
   },
   {
      provider: "<KMS provider>",
      masterKey: {
         "<dataKeyOpts Key>" : "<dataKeyOpts Value>"
      }
   }
)

Serviços de gerenciamento de chaves suportados

A Queryable Encryption é compatível com os seguintes provedores do Key Management System:

• KMS do Amazon Web Services

• Cofre de chaves do Azure

• KMS do Google Cloud

• Qualquer sistema de gerenciamento de chaves compatível com KMIP

• Provedor de chaves locais (somente para testes)

Para saber mais sobre esses fornecedores, incluindo diagramas que mostram como seu aplicativo os utiliza para executar a Queryable Encryption, consulte Fornecedores KMS.

Saiba mais

Para obter tutoriais detalhando como configurar um aplicativo habilitado para Queryable Encryption com cada um dos provedores de KMS compatíveis, consulte as seguintes páginas:

• Usar Queryable Encryption automática com Amazon Web Services

• Use o Queryable Encryption com o Azure

• Usar Queryable Encryption com o GCP