Operações suportadas para Queryable Encryption

Operações usando BinData

O MongoDB armazena campos criptografados da Queryable Encryption como um blob BinData . As operações de leitura e gravação emitidas em relação ao valor BinData criptografado podem ter um comportamento inesperado ou incorreto em comparação com a emissão da mesma operação em relação ao valor descriptografado. Certas operações têm suporte rigoroso do tipo BSON, em que emiti-las em relação a um valor BinData retorna um erro. Drivers oficiais compatíveis com Queryable Encryption analisam operações de leitura e gravação em busca de operadores ou expressões que não suportam valores BinData ou que têm um comportamento anormal quando emitidos em relação a valores BinData .

A aplicação que usam criptografia explícita podem usar esta página como orientação para emitir operações de leitura e gravação em campo criptografados.

Comandos de leitura e gravação compatíveis

Os drivers compatíveis com Queryable Encryption suportam criptografia automática com os seguintes comandos:

• aggregate

• count

• delete

• explain

• find

• findAndModify

• insert

• update

Para qualquer comando suportado, os drivers retornam um erro se o comando utilizar um operador, estágio de agregação ou expressão de agregação não suportado. Para obter uma lista completa dos operadores, estágios e expressões suportados, consulte as seguintes seções:

• Operadores de query suportados

• Operadores de atualização compatíveis

• Estágios de aggregation suportados

• Expressões de agregação suportadas

Os comandos a seguir não exigem criptografia automática. Os drivers oficiais configurados para criptografia automática passam esses comandos diretamente para o mongod :

• getMore [1]

• authenticate

• hello

• logout

• abortTransaction

• commitTransaction

• endSessions

• startSession

• create

• createIndexes

• drop

• dropDatabase

• dropIndexes

• killCursors

• listCollections

• listDatabases

• listIndexes

• renameCollection

• ping

A emissão de qualquer outro comando por meio de um driver compatível configurado para criptografia automática retorna um erro.

Para transações de cluster fragmentado que usam Queryable Encryption, deve-se configurar readConcern como snapshot.

Operadores de query suportados

Os drivers configurados para criptografia automática suportam o seguinte operador de query quando emitidos em um campo de query criptografado:

• $eq

• $ne

• $in

• $nin

• $and

• $or

• $not

• $nor

{$expr: {$eq: ["$encrypted1", "$encrypted2"]}}

{$expr: {$eq: ["$encrypted1", "plaintext_value"]}}

As queries que comparam um campo criptografado com null ou uma expressão regular sempre lançam um erro, mesmo ao usar um operador de query suportado.

O operador $exists tem comportamento normal quando emitido em campos criptografados.

As queries que especificam qualquer outro operador de query em um campo criptografado retornam um erro. Os seguintes operadores de query lançam um erro mesmo se não forem emitidos em um campo criptografado ao usar um MongoClient configurado para Queryable Encryption:

• $text

• $where

• $jsonSchema

Operadores de atualização compatíveis

Os drivers configurados para criptografia automática suportam os seguintes operadores de atualização quando emitidos em campos criptografados:

• $set

• $unset

As atualizações que especificam qualquer outro operador de atualização em um campo criptografado retornam um erro.

As operações de atualização com o seguinte comportamento geram um erro, mesmo se estiverem usando um operador compatível:

• A operação de atualização produz uma array dentro de um caminho criptografado.

• A operação de atualização usa a sintaxe de expressão de agregação.

Para operações de atualização que especificam um filtro de query em campos criptografados, o filtro de query deve usar somente operadores suportados nesses campos.

Atualizações do tipo substituição

Atualizações no estilo de substituição são suportadas, no entanto, se o documento de substituição contiver um Timestamp(0,0) dentro de um campo criptografado de nível superior, a Queryable Encryption apresentará erro. O valor (0,0) indica que o mongod deve gerar o Timestamp. mongod não pode gerar campos criptografados.

Operações de inserção sem suporte

Drivers compatíveis configurados para criptografia automática não oferecem suporte a comandos de inserção com o seguinte comportamento:

• Inserindo um documento com Timestamp(0,0) associado a um campo criptografado. O valor (0,0) indica que o mongod deve gerar o Timestamp. Como mongod não pode gerar campos criptografados, o carimbo de data/hora resultante não será criptografado.

Estágios de agregação não suportados

A criptografia automática não oferecerá suporte a estágios de agregação que leem ou gravam em collection adicionais. Esses estágios são:

• $out

• $merge

Estágios de aggregation suportados

Os drivers compatíveis configurados para criptografia automática suportam os seguintes estágios do pipeline de agregação:

• $addFields

• $bucket

• $bucketAuto

• $collStats

• $count

• $geoNear

• $group em campos não criptografados

• $indexStats

• $limit

• $lookup e $graphLookup (para requisitos de uso, consulte $lookup e $graphLookup Comportamento)

• $match

• $project

• $redact

• $replaceRoot

• $sample

• $skip

• $sort

• $sortByCount

• $unwind

Os pipelines de agregação que operam em collection configuradas para criptografia automática que especificam qualquer outro estágio retornam um erro.

Para cada estágio de pipeline compatível, o MongoDB acompanha os campos que devem ser criptografados à medida que passam pelos pipelines compatíveis e os marca para criptografia.

Cada estágio compatível deve especificar apenas os operadores de query e as expressões de agregação compatíveis.

Expressões de agregação suportadas

Drivers compatíveis configurados para criptografia automática suportam a seguinte expressão em relação a qualquer tipo de query de igualdade campo criptografado:

• $cond

• $eq

• $ifNull

• $in

• $let

• $literal

• $ne

• $switch

Todas as outras expressões de aggregation retornam um erro se forem emitidas em campos criptografados.

Os estágios de agregação com o comportamento a seguir retornam um erro , mesmo que estejam usando uma expressão de agregação compatível:

$addFields : {
  "valueWithUnknownEncryption" : {
    $cond : {
      if : { "$encryptedField" : "value" },
      then : "$encryptedField",
      else: "unencryptedValue"
    }
  }
},
{
  $match : {
    "valueWithUnknownEncryption" : "someNewValue"
  }
}

{
  $eq : [
    {"newField" : "$encryptedField"},
    {"newField" : "value"
  ]
}

{ $eq : [ "$prefixOfEncryptedField" , "value"] }

{
  $eq : [
      "$encryptedField" ,
      { $ne : [ "field", "value" ] }
  ]
}

{
  $let: {
    "vars" : {
      "newVariable" : "$encryptedField"
    }
  }
}

{
  $in : [
    "$encryptedField" ,
    "$otherEncryptedField"
  ]
}

Tipos de campo não suportados

Os drivers configurados para criptografia automática não oferecem suporte a operações de leitura ou gravação que exija criptografar os seguintes tipos de valor:

• MaxKey

• MinKey

• null

• undefined

A Queryable Encryption não oculta adequadamente as informações de tipo para esses valores.

A Queryable Encryption não oferece suporte a operações de leitura ou gravação em um campo criptografado em que a operação compara o campo criptografado aos seguintes tipos de valor:

• array

• decimal128

• double

• object