A partir de Cloud Manager 7.2.0.488-1, el equipo de lanzamiento de MongoDB firma digitalmente los paquetes de Cloud Manager para certificar que son versiones válidas e inalteradas de MongoDB. Antes de instalar Cloud Manager, valide el paquete con la firma PGP proporcionada.
Las firmas PGP proporcionan las garantías más sólidas al verificar tanto la autenticidad como la integridad de un archivo para evitar su manipulación.
Verificar un archivo PGP/GPG
MongoDB firma cada rama de lanzamiento con una clave PGP diferente. Los archivos de clave pública del Agente de MongoDB están disponibles para su descarga desde el servidor de claves, tanto en formato textual como... .asc y .pub formatos binarios en automation-agent.asc y automation-agent.pub, respectivamente.
Descargue el binario del agente MongoDB.
Descargue las claves públicas de sus archivos binarios desde el servidor de claves. Puede seleccionar automation-agent.asc automation-agent.pubo.
Por ejemplo, use este comando para descargar MongoDB Agent 13.14.0.8757-1:
curl -LO https://cloud.mongodb.com/download/agent/automation/mongodb-mms-automation-agent-13.14.0.8757-1.amzn2_aarch64.tar.gz
Descargue e importe el archivo clave.
Si no descargaste e importaste la clave pública de MongoDB, ejecuta estos comandos:
curl -LO https://pgp.mongodb.com/automation-agent.asc gpg --import automation-agent.asc
PGP debería devolver una respuesta similar a la siguiente:
gpg: key B2F05BD0A068169E: public key "MongoDB Agent Release Signing Key <packaging@mongodb.com>" imported gpg: Total number processed: 1 gpg: imported: 1
Verificar el binario del agente MongoDB.
Para verificar el binario del Agente MongoDB, ejecute este comando:
gpg --verify mongodb-mms-automation-agent-13.14.0.8757-1.amzn2_aarch64.tar.gz.sig mongodb-mms-automation-agent-13.14.0.8757-1.amzn2_aarch64.tar.gz
GPG debería devolver una respuesta similar a la siguiente:
gpg: Signature made Fri Mar 22 16:19:18 2024 EDT gpg: using RSA key F197D2C460DEC1B0674D3DEBB2F05BD0A068169E gpg: Good signature from "MongoDB Agent Release Signing Key <packaging@mongodb.com>" [unknown]
Si el paquete está firmado correctamente, pero aún no confía en la clave de firma en su trustdb local, gpg también devuelve el siguiente mensaje:
gpg: WARNING: This key is not certified with a trusted signature! gpg: There is no indication that the signature belongs to the owner. Primary key fingerprint: E162 F504 A20C DF15 827F 718D 4B7C 549A 058F 8B6B
Si recibe el siguiente mensaje de error, confirme que haya importado la clave pública correcta:
gpg: Can't check signature: public key not found