字段加密和可查询性

概述

了解以下 Queryable Encryption 主题：

• 对加密字段启用查询时的注意事项。

• 如何指定加密字段。

• 如何配置加密字段，使其可供查询。

• 查询类型以及哪些类型可用于加密字段。

• 如何优化加密字段的查询性能。

启用查询时的注意事项

使用“可查询加密”时，可以选择是否将加密字段设置为可查询。如果不需要执行需要查询加密字段的 CRUD 操作，则可能不需要启用对该字段的查询。您仍然可以通过查询其他可查询或未加密的字段来检索整个文档。

当您将加密字段设置为可查询时，Queryable Encryption 会为每个加密字段创建一个索引，这会使该字段的写入操作花费更长时间。 当写入操作更新索引字段时，MongoDB 也会更新相关索引。

当您创建加密集合时，MongoDB 会创建两个元数据集合，因此需要更大的存储空间。

指定加密字段

使用“可查询加密”，你就可以使用 JSON 加密模式指定要在 MongoDB 文档中自动加密的字段。加密模式定义了加密哪些字段，以及这些字段可以进行哪些查询。

若要指定用于加密和查询的字段，请创建包含以下属性的加密模式：

{
   "firstName": "Jon",
   "lastName": "Snow",
   "patientId": 12345187,
   "address": "123 Cherry Ave",
   "medications": [
      "Adderall",
      "Lipitor"
   ],
   "patientInfo": {
      "ssn": "921-12-1234",
      "billing": {
            "type": "visa",
            "number": "1234-1234-1234-1234"
      }
   }
}

const encryptedFieldsObject = {
   fields: [
      {
         path: "patientId",
         keyId: "<unique data encryption key>",
         bsonType: "int"
      },
      {
         path: "patientInfo.ssn",
         keyId: "<unique data encryption key>",
         bsonType: "string"
      },
      {
         path: "medications",
         keyId: "<unique data encryption key>",
         bsonType: "array"
      },
      {
         path: "patientInfo.billing",
         keyId: "<unique data encryption key>",
         bsonType: "object"
      }
   ]
}

配置查询字段

在字段中包含 queries 属性以使它们可查询。这使授权客户端能够对这些字段发出读取和写入查询。忽略 queries 属性会阻止客户端查询字段。

const encryptedFieldsObject = {
   fields: [
      {
         path: "patientId",
         bsonType: "int",
         queries: { queryType: "equality" }
      },
      {
         path: "patientInfo.ssn",
         bsonType: "string",
         queries: { queryType: "equality" }
      },
      {
         path: "medications",
         bsonType: "array"
      },
      {
         path: "patientInfo.billing",
         bsonType: "object"
      },
   ]
}

争用

并发写操作，例如在多个文档中连续插入相同的字段/值对，可能会导致争用：即延迟操作的冲突。

通过可查询加密，MongoDB 使用内部计数器跟踪加密集合中每个字段/值对的出现次数。争用因子对该计数器进行分区，类似于数组。这样可以最大限度地减少使用insert 、 update或findAndModify连续添加或修改具有相同字段/值对的加密字段时递增计数器的问题。 contention = 0创建一个数组，在索引0处包含一个元素。 contention = 4会在索引0 - 4处创建一个包含5元素的数组。 MongoDB 在插入期间递增随机数组元素。

未设置时， contention默认为8 ，可为大多数工作负载提供高性能。较高的争用可提高低关联基数字段上的插入和更新操作的性能，但会降低查找性能。

客户端和服务器模式

MongoDB 支持使用模式验证来实施集合中特定字段的加密。使用自动 Queryable Encryption 的客户端具有特定行为，具体取决于数据库连接配置：

• 如果连接 encryptedFieldsMap 对象包含指定集合的密钥，则客户端使用该对象执行自动 Queryable Encryption，而不是使用远程模式。至少，本地规则必须加密远程模式标记为需要加密的那些字段。

• 如果连接 encryptedFieldsMap 对象不包含指定集合的密钥，客户端会下载该集合的服务器端远程模式，然后用于执行自动“可查询加密”。

  重要

  行为注意事项

  如果客户端不存在适用于指定集合的加密模式，则会出现以下情况：

  • 客户端相信服务器具有适用于自动 Queryable Encryption 的有效模式。

  • 客户端仅使用远程模式来执行自动 Queryable Encryption。客户端不会实施该模式中指定的任何其他验证规则。

要了解有关自动 Queryable Encryption 的详情，请参阅以下资源：

• Queryable Encryption 简介

• 快速入门

启用可查询加密

在创建集合之前启用可查询加密。 在创建集合后启用 Queryable Encryption 不会加密该集合中已有文档的字段。 您可以通过以下两种方式之一对字段启用 Queryable Encryption：

• 将 encryptedFieldsObject 常量表示的加密模式传递给应用程序用于创建集合的客户端：

const client = new MongoClient(uri, {
   autoEncryption: {
      keyVaultNameSpace: "<your keyvault namespace>",
      kmsProviders: "<your kms provider>",
      extraOptions: {
         cryptSharedLibPath: "<path to Automatic Encryption Shared Library>"
      },
      encryptedFieldsMap: {
         "<databaseName.collectionName>": { encryptedFieldsObject }
      }
   }
   ...
   await client.db("<database name>").createCollection("<collection name>");
}

有关 autoEncryption 配置选项的更多信息，请参阅 MongoClient 的 Queryable Encryption 选项一节。

• 将加密的字段对象传递给createCollection()以创建新集合：

await encryptedDB.createCollection("<collection name>", {
   encryptedFields: encryptedFieldsObject
});