静态加密
在本页面
静态加密与传输加密和保护相关帐户，密码和加密密钥的良好安全策略结合使用时，可以帮助确保符合 HIPAA，PCI-DSS 和 FERPA 等安全和隐私标准。
加密的存储引擎
3.2 版中的新功能。
Enterprise Feature
仅在 MongoDB Enterprise 中可用。
Important
仅适用于 WiredTiger 存储引擎。
MongoDB Enterprise 3.2 为 WiredTiger 存储引擎引入了本机加密选项。此功能允许 MongoDB 加密数据文件，以便只有具有解密密钥的各方才能解码和读取数据。
Encryption Process
如果启用了加密，则 MongoDB Enterprise 使用的默认加密模式是通过 OpenSSL 的AES256-CBC(或密码块链接模式下的 256 位高级加密标准)。 AES-256 使用对称密钥；即用于加密和解密文本的相同密钥。 MongoDB Enterprise 还支持经过身份验证的加密AES256-GCM(或 Galois/Counter 模式下的 256 位高级加密标准)。也可以使用 FIPS 模式加密。
Warning
数据加密过程包括：
-
生成主密钥。
-
为每个数据库生成密钥。
-
使用数据库密钥加密数据。
-
用主密钥加密数据库密钥。
加密在存储层中透明地进行；即，从文件系统的角度来看，所有数据文件都已完全加密，并且数据仅以未加密状态存在于内存中和传输过程中。
要加密 MongoDB 的所有网络流量，可以使用 TLS/SSL(传输层安全性/安全套接字层)。参见为 TLS/SSL 配置 mongod 和 mongos和Client 端的 TLS/SSL 配置。
Key Management
Important
加密密钥的安全 Management 至关重要。
数据库密钥在服务器内部，并且仅以加密格式分页到磁盘。在任何情况下，MongoDB 都不会将主密钥分页到磁盘。
只有主密钥在服务器外部(即，与数据和数据库密钥保持隔离)，并且需要外部 Management。为了 Management 主密钥，MongoDB 的加密存储引擎支持两个密钥 Management 选项：
-
通过密钥 Management 互操作性协议(KMIP)与第三方密钥 Management 设备集成。 推荐的
-
通过密钥文件进行本地密钥 Management。
要配置 MongoDB 进行加密并使用两个密钥 Management 选项之一，请参阅Configure Encryption。
加密和复制
加密不是复制的一部分：
-
主密钥和数据库密钥不会复制，并且
-
数据不是通过本机加密的。
尽管您可以为节点重用相同的密钥，但是 MongoDB 建议为每个节点使用单独的密钥以及使用传输加密。
有关详细信息，请参见旋转加密密钥。
Logging
3.4 版中的新功能：仅在 MongoDB Enterprise 中可用
日志文件未作为 MongoDB 加密存储引擎的一部分进行加密。根据配置的log verbosity，以logging身份运行的mongod可能会将潜在敏感信息输出到日志文件，作为正常操作的一部分。
MongoDB 3.4 Enterprise 提供了security.redactClientLogData设置，以防止潜在的敏感信息进入mongod进程日志。 redactClientLogData会减少日志中的详细信息，并且可能会使日志诊断变得复杂。
有关更多信息，请参见log redaction手动 Importing。
应用程序级别加密
应用程序级别加密在应用程序层中按字段或按文档提供加密。要加密文档或字段级数据，请编写自定义加密和解密例程或使用商业解决方案。
有关 MongoDB 认证合作伙伴的列表，请参阅Partners List。要查看安全伙伴，请从“技术”过滤器中选择“安全”，然后从“认证”过滤器中选择“已认证”。