El equipo de lanzamientos de MongoDB Search firma digitalmente todos los paquetes de software para certificar que un paquete específico de mongot es una versión válida y sin alteraciones de mongot. Antes de instalar mongot, deberías validar la imagen del contenedor o el tarball.
Verificar imagen de contenedor Docker
Instalar cosign.
Si aún no tiene Cosign instalado, siga las instrucciones de instalación de Cosign.
En macOS con Homebrew, ejecute el siguiente comando:
brew install cosign
Verifique la imagen del contenedor
Reemplace {VERSION_NUMBER} con la versión de la imagen del contenedor mongot de Docker Hub y ejecute el siguiente comando para verificar la imagen del contenedor:
COSIGN_REPOSITORY=docker.io/mongodb/signatures cosign verify --insecure-ignore-tlog --key=./mongodb-search-community.pem "docker.io/mongodb/mongodb-community-search:{VERSION_NUMBER}"
La salida debería ser similar a la siguiente:
Verification for index.docker.io/mongodb/mongodb-community-search:latest -- The following checks were performed on each of these signatures: - The cosign claims were validated - The signatures were verified against the specified public key [{"critical":{"identity":{"docker-reference":"docker.io/mongodb/mongodb-community-search:latest"}, "image":{"docker-manifest-digest":"sha256:b41f73a33aa62a62596b6aeaf4c177e47dc3a5901701f6d8d46f498a45f7ac53"}, "type":"cosign container image signature"},"optional":null}]
Verificar archivo tarball
Descargar el tarball y su firma
Reemplace {VERSION_NUMBER} con la versión de mongot que desea verificar y ejecute los siguientes comandos para descargar tanto el tarball como su firma para la arquitectura de su sistema.
curl -fsSL https://downloads.mongodb.org/mongodb-search-community/{VERSION_NUMBER}/mongot_community_{VERSION_NUMBER}_linux_aarch64.tgz -o mongot_community_{VERSION_NUMBER}_linux_aarch64.tgz curl -fsSL https://downloads.mongodb.org/mongodb-search-community/{VERSION_NUMBER}/mongot_community_{VERSION_NUMBER}_linux_aarch64.tgz.sig -o mongot_community_{VERSION_NUMBER}_linux_aarch64.tgz.sig
curl -fsSL https://downloads.mongodb.org/mongodb-search-community/{VERSION_NUMBER}/mongot_community_{VERSION_NUMBER}_linux_x86_64.tgz -o mongot_community_{VERSION_NUMBER}_linux_x86_64.tgz curl -fsSL https://downloads.mongodb.org/mongodb-search-community/{VERSION_NUMBER}/mongot_community_{VERSION_NUMBER}_linux_x86_64.tgz.sig -o mongot_community_{VERSION_NUMBER}_linux_x86_64.tgz.sig
Para descargar una versión diferente, reemplaza las instancias de {VERSION_NUMBER} por el número de versión deseado.
Verificar el tarball
Reemplaza {VERSION_NUMBER} con tu versión de mongot y ejecuta el siguiente comando para verificar el tarball:
gpg --verify mongot_community_{VERSION_NUMBER}_linux_aarch64.tgz.sig mongot_community_{VERSION_NUMBER}_linux_aarch64.tgz
gpg --verify mongot_community_{VERSION_NUMBER}_linux_x86_64.tgz.sig mongot_community_{VERSION_NUMBER}_linux_x86_64.tgz
Para verificar una versión diferente, reemplace las instancias de {VERSION_NUMBER} con el número de versión deseado.
La salida debería ser similar a la siguiente:
gpg: Signature made Fri Sep 5 15:37:47 2025 PDT gpg: using RSA key 55C58636FD6CEE2B789B6F49516C2412904B6C26 gpg: Good signature from "MongoDB Atlas Search Release Signing Key <packaging@mongodb.com>" [unknown] gpg: WARNING: This key is not certified with a trusted signature! gpg: There is no indication that the signature belongs to the owner. Primary key fingerprint: 55C5 8636 FD6C EE2B 789B 6F49 516C 2412 904B 6C26