Hibernate 拡張アーティファクトの署名の検証

Overview

MongoDB が Maven Central に公開している MongoDB Extension for Hibernate ORM アーティファクトの署名を検証できます。アーティファクトの署名を検証することで、アーティファクトが正規であり、改変されていないことを確認できます。

手順

これらの手順では、Hibernate ORM 拡張アーティファクトの署名を検証する方法を説明します。

暗号化ソフトウェアをインストールする

コマンドラインからアーティファクトの署名を検証するには、GnuPG暗号化スイートをインストールする必要があります。

macOSでは、Homebrewを使用してGnuPGをインストールできます。

brew install gnupg

Tip

また、GPG Suiteをインストールして、GnuPGのグラフィカルインターフェースを利用することもできます。GPG SuiteにはHomebrewインストールがあります。

MongoDB署名キーをダウンロードしてインポートする

MongoDB がリリースの署名に使用する公開キーをダウンロードしてインポートする:

gpg --keyserver hkps://keyserver.ubuntu.com --recv-keys 1a75005e142192223d6a7c3b76e0008d166740a8

また、MongoDB Extension for Hibernate ORM releases ページでも解放に固有の手順を確認できます。

署名付きの成果物をダウンロードする

検証するMongoDB Extension for Hibernate ORMアーティファクトをMaven Centralからダウンロードします。

次の例では、拡張機能のバージョン 1.0.0 をダウンロードします。

curl -LO https://repo.maven.apache.org/maven2/org/mongodb/mongodb-hibernate/1.0.0/mongodb-hibernate-1.0.0.jar

別のバージョンを確認するには、コマンド内の 1.0.0 を確認したいバージョンに置き換えてください。

アーティファクト署名をダウンロードする

同じアーティファクトとバージョンの分離された署名ファイルをダウンロードしてください。

curl -LO https://repo.maven.apache.org/maven2/org/mongodb/mongodb-hibernate/1.0.0/mongodb-hibernate-1.0.0.jar.asc

.asc ファイルは、ダウンロードしたアーティファクトファイルと一致している必要があります。

署名を検証します

アーティファクトとその署名が含まれているディレクトリから、次のコマンドを実行します。

gpg --verify mongodb-hibernate-1.0.0.jar.asc mongodb-hibernate-1.0.0.jar

署名が有効な場合、GnuPGは以下のようなメッセージを表示します。

gpg: Signature made Wed Sep 16 19:15:35 2026 ISTgpg:                using RSA key 76E0008D166740A8gpg: Good signature from "MongoDB Java Driver Release Signing Key <packaging@mongodb.com>" [unknown]gpg: WARNING: This key is not certified with a trusted signature!gpg:          There is no indication that the signature belongs to the owner.Primary key fingerprint: 1A75 005E 1421 9222 3D6A 7C3B 76E0 008D 1667 40A8

有効な署名は、アーティファクトが署名済みのリリースと一致していることを確認するものです。結果を信頼する前に、キーのフィンガープリントと署名IDを検討してください。

詳細情報

署名の検証の詳細については、サーバーマニュアルの「 MongoDB パッケージの整合性の検証」を参照してください。

戻る

楽観的ロック

機能の互換性