MongoDB数据加密

使用中的加密最好有选择地应用于那些您认为是包含最敏感数据（如 PII 或 PHI）的字段。

使用客户端字段级加密数据加密与传输中加密和静态加密相结合，在整个数据生命周期内提供数据加密，采用互补的方法提供深度防御的安全态势，以应对不同的威胁模型。

• 传输中加密保护所有通过网络传输的数据，但不加密使用中或静态的数据。
• 静态加密保护所有存储的数据，但不加密使用中或传输中的数据。
• 使用使用中加密，您的最敏感数据永远不会以明文形式离开您的应用程序。客户端端加密的字段无法由服务器解密，并且在传输、静态和使用过程中保持加密，即使在查询处理时也是如此。

您的加密密钥可以存储在任何您选择的云提供商中，不需要与您的数据存储在同一个云提供商中。例如，您可以将数据存储在 Azure 中，但加密密钥在 AWS KMS 中，或者数据在 AWS 中，但密钥在 GCP 云 KMS 中。这种方法适用于静态加密和使用中加密功能。

MongoDB 企业版支持 KMIP 启用密钥提供者进行静态加密。不支持云提供的 KMS（密钥管理系统）。

可查询加密使用快速加密搜索算法在服务器端添加额外的加密数据结构，使得可以对加密数据进行等式和范围查询。由于数据库执行查询处理，因此无需将额外结果带回到客户端或为客户端查询处理编写额外的应用程序代码。

客户端字段级加密提供类似的功能，即在将数据插入数据库之前在客户端对数据进行加密。查询仅限于等式查询，并且必须使用确定性加密进行等式。

自 8.0 版本发布以来，可查询加密支持对加密数据进行等式和范围查询。

未来的版本将支持前缀、后缀和子串查询类型。