静态加密

加密过程

如果启用加密，MongoDB Enterprise 使用的默认加密模式则是通过 OpenSSL 实现的 AES256-CBC（或是采用密码分组链接模式的 256 位高级加密标准）。AES-256 使用对称密钥；即，使用同一密钥来加密和解密文本。MongoDB Enterprise for Linux 还支持经过身份验证的加密 AES256-GCM（或是采用 Galois/Counter 模式的 256 位高级加密标准）。

加密存储引擎使用认证的底层操作系统加密提供程序来执行加密操作。例如，在 Linux 操作系统上安装的 MongoDB 使用 OpenSSL libcrypto FIPS-140 模块。

要在符合 FIPS 标准的模式下运行 MongoDB：

1. 将操作系统配置为在 FIPS 强制模式下运行。

2. 配置 MongoDB 以启用 net.tls.FIPSMode 设置。

3. 重新启动 mongod 或 mongos。

4. 检查服务器日志文件以确认 FIPS 模式已启用。如果 FIPS 模式已启用，日志文件中则会显示消息 FIPS 140-2 mode activated。

更多信息，请参阅为 FIPS 配置 MongoDB。

数据加密流程包括：

• 生成主密钥。

• 为每个数据库生成密钥。

• 用数据库密钥加密数据。

• 使用主密钥来加密数据库密钥。

此加密在存储层以透明方式进行；即，从文件系统的角度来看，所有数据文件都是完全加密的，而数据仅以未加密状态存在于内存和传输过程中。

要加密 MongoDB 的所有网络流量，可以使用 TLS/SSL（传输层安全性/安全套接字层）。请参阅为 TLS/SSL 配置 mongod 和 mongos以及客户端的 TLS /SSL 配置。

密钥管理

数据库密钥属于服务器内部，并且仅以加密格式分页到磁盘。MongoDB 在任何情况下都不会将主密钥分页到磁盘。

仅主密钥属于服务器外部（即，它会与数据以及数据库密钥分开保存），且需进行外部管理。为了管理主密钥，MongoDB 的加密存储引擎支持两种密钥管理选项：

• 通过 Key Management Interoperability Protocol (KMIP) 与第三方密钥管理设备集成。推荐

  注意

  对于使用 KMIP 与第三方密钥管理设备进行的集成，您应允许以下 KMIP 操作：

  • 创建 (operation_create)

  • 获取 (operation_get)

  • 激活 (operation_activate)

• 通过密钥文件进行本地密钥管理。

要配置 MongoDB 进行加密并使用两个密钥管理选项，请参阅配置加密。

加密和复制

加密不是复制的一部分：

• 主密钥和数据库密钥不会被复制，且

• 数据不是通过网络进行本地加密的。

虽然您可以为节点重复使用同一密钥，但 MongoDB 建议为每个节点使用单独的密钥并进行传输加密。

详情请参阅轮换加密密钥。

审核日志

仅在 MongoDB Enterprise 中可用。