為 Mongo 客戶端字段級加密（CSFLE）生成單個數據密鑰

Question

我正在使用此處提到的第二個示例進行客戶端字段級加密，並且它按預期工作。 我創建了一個 Mongo 客戶端 bean 並一直使用它，直到我的應用程序停止。

我想找出是否有更好的方法來做以下事情並且幾乎沒有疑問：

1. 每次我重新啟動服務器時都會運行以下命令：

BsonBinary dataKeyId = clientEncryption.createDataKey("local", new DataKeyOptions());

這每次都會生成一個新密鑰並插入到我的密鑰庫集合中。 我很好奇是否有辦法通過獲取舊密鑰本身來進行空間優化。 這兩種方法在安全性方面有什么優勢嗎？

2. 如果我使用的是 AWS KMS，我的 mongo 客戶端是否會為每個 fetch/update 調用調用 keyvault 集合和 KMS？

3. 如果我啟用 AWS KMS 密鑰輪換，在解密舊數據時密鑰輪換是否會導致問題？

提前致謝。

Answer 1

我正在使用此處提到的第二個示例進行客戶端字段級加密，並且它按預期工作。 我創建了一個 Mongo 客戶端 bean 並一直使用它，直到我的應用程序停止。

我想找出是否有更好的方法來做以下事情並且幾乎沒有疑問：

1. 每次我重新啟動服務器時都會運行以下命令：

BsonBinary dataKeyId = clientEncryption.createDataKey("local", new DataKeyOptions());

這每次都會生成一個新密鑰並插入到我的密鑰庫集合中。 我很好奇是否有辦法通過獲取舊密鑰本身來進行空間優化。 這兩種方法在安全性方面有什么優勢嗎？

2. 如果我使用的是 AWS KMS，我的 mongo 客戶端是否會為每個 fetch/update 調用調用 keyvault 集合和 KMS？

3. 如果我啟用 AWS KMS 密鑰輪換，在解密舊數據時密鑰輪換是否會導致問題？

提前致謝。