getClientEncryption()

行为¶

例子¶

该getKeyVault()方法使用部分索引过滤器 在字段上自动创建 唯一索引，仅适用于存在的文档。 在密钥保管库集合中创建此索引。这防止了同一密钥库中的任何两个数据加密密钥具有相同的密钥替代名称，因此避免了围绕哪个数据加密密钥适用于加密/解密的歧义。keyAltNameskeyAltNamesgetKeyVault()

以下示例将本地管理的KMS用于客户端字段级加密配置。

为本地管理的密钥配置客户端字段级加密需要指定没有换行符的base64编码的96字节字符串。以下操作将生成满足所述要求的密钥并将其加载到mongo外壳中：

TEST_LOCAL_KEY=$(echo "$(head -c 96 /dev/urandom | base64 | tr -d '\n')")

mongo --nodb --shell --eval "var TEST_LOCAL_KEY='$TEST_LOCAL_KEY'"

使用生成的本地密钥字符串创建客户端字段级加密对象：

var ClientSideFieldLevelEncryptionOptions = {
  "keyVaultNamespace" : "encryption.__dataKeys",
  "kmsProviders" : {
    "local" : {
      "key" : BinData(0, TEST_LOCAL_KEY)
    }
  }
}

使用Mongo()构造函数使用客户端字段级加密选项创建数据库连接。用目标集群mongodb://myMongo.example.net的连接字符串URI替换 URI 。

encryptedClient = Mongo(
  "mongodb://myMongo.example.net:27017/?replSetName=myMongo",
  ClientSideFieldLevelEncryptionOptions
)

使用该getClientEncryption()方法检索客户端加密对象：

clientEncryption = encryptedClient.getClientEncryption()

有关在启用客户端字段级加密的情况下启动MongoDB连接的完整文档，请参阅Mongo()。