A partir de Atlas Kubernetes Operator 2.2.0, el equipo de lanzamiento de MongoDB firma digitalmente los paquetes de Atlas Kubernetes Operator para certificar que son lanzamientos de MongoDB válidos y sin modificaciones.
Puedes verificar los paquetes de Atlas Kubernetes Operator usando una regla makefile, o cosign.
Requisitos previos
Antes de poder verificar los paquetes de Atlas Kubernetes Operator, debe tener una copia local del repositorio de Atlas Kubernetes Operator.
Verificar con la regla Makefile
La regla del makefile verify verifica la firma de una imagen multiarquitectura de Atlas Kubernetes Operator.
Ejecute el siguiente comando para verificar las firmas en el registro mongodb/signatures de MongoDB. Reemplace los siguientes marcadores de posición con sus valores:
Marcador de posición | Descripción |
|---|---|
| La referencia de la imagen que desea verificar. |
| El repositorio que contiene todas las firmas que desea verificar. |
make verify {IMG}=mongodb/mongodb-atlas-kubernetes-operator:2.2.0 {SIGNATURE_REPO}=mongodb/signatures
Si el comando se ejecuta correctamente, imprime VERIFIED OK. De lo contrario, imprime un error como Error: no matching signatures.
Verificar con Cosign
Instalar Cosign.
Verificar el paquete.
Ejecute el siguiente comando para verificar el paquete Operador de Kubernetes de Atlas. Reemplace los siguientes marcadores de posición con sus valores:
Marcador de posición | Descripción |
|---|---|
| La referencia de la imagen que desea verificar. |
| El nombre del archivo en el que descargó la clave de firma PEM. |
COSIGN_REPOSITORY=mongodb/signatures cosign verify --insecure-ignore-tlog --key="${KEY_FILENAME}" "${IMG}" && echo PASS
Si el comando se ejecuta correctamente, imprime PASS. De lo contrario, imprime un error como Error: no matching signatures.