为 Mongo 客户端字段级加密（CSFLE）生成单个数据密钥

Question

我正在使用此处提到的第二个示例进行客户端字段级加密，并且它按预期工作。 我创建了一个 Mongo 客户端 bean 并一直使用它，直到我的应用程序停止。

我想找出是否有更好的方法来做以下事情并且几乎没有疑问：

1. 每次我重新启动服务器时都会运行以下命令：

BsonBinary dataKeyId = clientEncryption.createDataKey("local", new DataKeyOptions());

这每次都会生成一个新密钥并插入到我的密钥库集合中。 我很好奇是否有办法通过获取旧密钥本身来进行空间优化。 这两种方法在安全性方面有什么优势吗？

2. 如果我使用的是 AWS KMS，我的 mongo 客户端是否会为每个 fetch/update 调用调用 keyvault 集合和 KMS？

3. 如果我启用 AWS KMS 密钥轮换，在解密旧数据时密钥轮换是否会导致问题？

提前致谢。

Answer 1

我正在使用此处提到的第二个示例进行客户端字段级加密，并且它按预期工作。 我创建了一个 Mongo 客户端 bean 并一直使用它，直到我的应用程序停止。

我想找出是否有更好的方法来做以下事情并且几乎没有疑问：

1. 每次我重新启动服务器时都会运行以下命令：

BsonBinary dataKeyId = clientEncryption.createDataKey("local", new DataKeyOptions());

这每次都会生成一个新密钥并插入到我的密钥库集合中。 我很好奇是否有办法通过获取旧密钥本身来进行空间优化。 这两种方法在安全性方面有什么优势吗？

2. 如果我使用的是 AWS KMS，我的 mongo 客户端是否会为每个 fetch/update 调用调用 keyvault 集合和 KMS？

3. 如果我启用 AWS KMS 密钥轮换，在解密旧数据时密钥轮换是否会导致问题？

提前致谢。