A partir de Cloud Manager 7.2.0.488-1, el equipo de lanzamientos de MongoDB firma digitalmente los paquetes de Cloud Manager para certificar que son lanzamientos válidos e inalterados de MongoDB. Antes de instalar Cloud Manager, valide el paquete usando la firma PGP proporcionada.
Las firmas PGP proporcionan las garantías más fuertes al comprobar tanto la autenticidad como la integridad de un archivo para evitar manipulaciones.
Verifica un archivo PGP/GPG
MongoDB firma cada rama de lanzamiento con una clave PGP diferente. Los archivos de clave pública del Agente de MongoDB están disponibles para su descarga desde el servidor de claves, tanto en formato textual como... .asc y los formatos binarios .pub bajo automation-agent.asc y automation-agent.pub, respectivamente.
Descargue el MongoDB Agent Binary.
Descargue las claves públicas de sus binarios desde el servidor de claves. Puedes seleccionar automation-agent.asc o automation-agent.pub.
Por ejemplo, utilice este comando para descargar MongoDB Agent 13.14.0.8757-1:
curl -LO https://cloud.mongodb.com/download/agent/automation/mongodb-mms-automation-agent-13.14.0.8757-1.amzn2_aarch64.tar.gz
Descarga e importa el archivo clave.
Si no descargaste e importaste la clave pública de MongoDB, ejecuta estos comandos:
curl -LO https://pgp.mongodb.com/automation-agent.asc gpg --import automation-agent.asc
PGP debería devolver una respuesta similar a la siguiente:
gpg: key B2F05BD0A068169E: public key "MongoDB Agent Release Signing Key <packaging@mongodb.com>" imported gpg: Total number processed: 1 gpg: imported: 1
Verifica el binario del agente MongoDB.
Para verificar el binario del Agente MongoDB, ejecute este comando:
gpg --verify mongodb-mms-automation-agent-13.14.0.8757-1.amzn2_aarch64.tar.gz.sig mongodb-mms-automation-agent-13.14.0.8757-1.amzn2_aarch64.tar.gz
GPG debe devolver una respuesta similar a la siguiente:
gpg: Signature made Fri Mar 22 16:19:18 2024 EDT gpg: using RSA key F197D2C460DEC1B0674D3DEBB2F05BD0A068169E gpg: Good signature from "MongoDB Agent Release Signing Key <packaging@mongodb.com>" [unknown]
Si el paquete está correctamente firmado, pero aún no confías en la clave de firma en tu trustdb local, gpg también retorna el siguiente mensaje:
gpg: WARNING: This key is not certified with a trusted signature! gpg: There is no indication that the signature belongs to the owner. Primary key fingerprint: E162 F504 A20C DF15 827F 718D 4B7C 549A 058F 8B6B
Si recibes el siguiente mensaje de error, verifica que hayas importado la clave pública correcta:
gpg: Can't check signature: public key not found