Mongo()

Mongo()连接对象。

（可选）托管密钥保管库集合的 MongoDB cluster。

Mongo()指定指向集群的 连接对象：

var keyVaultClient = Mongo(<MongoDB URI>);
var autoEncryptionOptions = {
  "keyVaultClient" : keyVaultClient,
  "keyVaultNamespace" : "<database>.<collection>",
  "kmsProviders" : { ... }
}

keyVaultClient如果省略host Mongo()，则为包含autoEncryptionOpts 文档的 对象指定的 将用作密钥保管托管。

字符串

（必填）密钥保管库集合的完整命名空间 。

文档

(必填）客户端字段级加密使用的密钥管理服务（KMS），用于管理客户主密钥（CMK）。客户端字段级加密使用 CMK 对数据加密密钥进行加密及解密。

客户端字段级加密支持以下 KMS 提供商：

• Amazon Web Services KMS

• Azure Key Vault

• Google Cloud Platform KMS

• 本地管理的密钥

如果可能，可以考虑将kmsProviders 中提供的凭证定义为环境变量，然后使用 --eval 选项将它们传递给 mongosh。这可以最大限度地降低凭证泄漏到日志中的可能性。有关每种支持的 KMS 的这种方法的示例，请参阅创建数据密钥。

Amazon Web Services KMS

重要提示：要获得Amazon Amazon Web ServicesKMSmongoshMongoDB4.2.2Web Servicesmongoshell KMS支持，请使用 或MongoDB 或更高版本的旧版 Shell 。4 。 2 。 0和 4 。 2。 1由于KMS响应对象发生意外更改，旧版 Shell不支持Amazonmongoshell Amazon Web ServicesKMSWeb Services KMS服务。KMS有关更多信息，请参阅 SERVER-44721 。

使用以下字段将 aws 文档指定为 kmsProviders：

"kmsProviders" : {
   "aws" : {
     "accessKeyId" : "AWSAccessKeyId",
     "secretAccessKey" : "AWSSecretAccessKey"
   }
 }

指定的 accessKeyId 必须对应于具有 KMS 服务的所有 List 和 Read 权限的 IAM 用户。

Azure Key Vault

使用以下字段将 azure 文档指定为 kmsProviders：

"kmsProviders" : {
  "azure" : {
    "tenantId" : "AzureTenantId",
    "clientId" : "AzureClientId",
    "clientSecret" : "AzureClientSecret"
  }
}

版本 5.0 中的新增功能。

Google Cloud KMS

使用以下字段将 gcp 文档指定为 kmsProviders：

"kmsProviders" : {
  "gcp" : {
    "email" : "GCPEmail",
    "privateKey" : "GCPPrivateKey"
  }
}

版本 5.0 中的新增功能。

本地管理的密钥

使用以下字段将local文档指定为kmsProviders ：

"kmsProviders" : {
  "local" : {
     "key" : BinData(0, "<96 byte base-64 encoded key>")
  }
}

指定的 key 必须是 base64 编码的 96 字节字符串，且不包含换行符。

文档

（可选） 使用JSON schema草案 4 标准语法和特定于加密的关键字指定的自动客户端字段级加密规则。此选项与 explicitEncryptionOnly 互斥。如果 schemaMap 和 encryptedFieldsMap 上同时存在一个集合，则初始化时会出现 libmongocrypt 错误。

有关完整的文档，请参阅加密模式。

布尔

（可选）指定 true 可绕过自动客户端字段级加密规则并执行显式（手动）逐字段加密。

布尔

（可选）指定 true，在没有 crypt_shared 库的情况下对索引字段使用显式加密。有关详细信息，请参阅用于 Queryable Encryption 的 MongoClient 选项。

布尔

（可选）指定true以表示既不使用自动加密，也不使用自动解密。 您可以使用getKeyVault()和getClientEncryption()执行显式加密。 此选项与schemaMap互斥。 如果省略，则默认为false 。

对象

（可选） PEM 格式 ( tlsCertificateKeyFile ) 的 TLS客户端端证书和私钥文件、TLS客户端证书和私钥文件密码 ( tlsCertificateKeyFilePassword ) 或 TLS 证书颁发机构文件( tlsCAFile ) 的路径，用于以 PEM 格式连接到KMS 。 要学习；了解有关这些选项的更多信息，请参阅TLS 选项。

文档

（可选）集合命名空间到 encryptedFields 文档的映射。 encryptedFields 是描述Queryable Encryption加密字段的BSON文档。如果 schemaMap 和 encryptedFieldsMap 上同时存在一个集合，则初始化时会出现 libmongocrypt 错误。

To learn more about encrypted fields in Queryable Encryption, see Specify Fields for Encryption.