非推奨の拡張アーティファクト署名の検証

暗号化ソフトウェアのインストール

コマンドラインからアーティファクト署名を検証するには、 GnuPG暗号化スイートをインストールする必要があります。

macOS では、 Homebrew を使用して GnuPG をインストールできます。

brew install gnupg

MongoDB署名キーのダウンロードとインポート

MongoDB がリリースに署名するために使用する公開キーをダウンロードしてインポートします。

gpg --keyserver hkps://keyserver.ubuntu.com --recv-keys 1a75005e142192223d6a7c3b76e0008d166740a8

また、「 ORM リリース用のMongoDB拡張機能 」ページではリリース固有の手順を見つけることができます。

署名されたアーティファクトをダウンロードします

Maven Central から検証する Hibernetes ORM アーティファクト用のMongoDB拡張機能 をダウンロードします。

次の例では、拡張機能のバージョン 1.0.0 をダウンロードします。

curl -LO https://repo.maven.apache.org/maven2/org/mongodb/mongodb-hibernate/1.0.0/mongodb-hibernate-1.0.0.jar

別のバージョンを確認するには、コマンド内の 1.0.0 を確認対象のバージョンに置き換えます。

アーティファクトの署名のダウンロード

同じアーティファクトとバージョンのデタッチされた署名ファイルをダウンロードします。

curl -LO https://repo.maven.apache.org/maven2/org/mongodb/mongodb-hibernate/1.0.0/mongodb-hibernate-1.0.0.jar.asc

.ascファイルは、ダウンロードした アーティファクトファイルに対応している必要があります。

署名を検証します

アーティファクトとその署名を含むディレクトリから次のコマンドを実行します。

gpg --verify mongodb-hibernate-1.0.0.jar.asc mongodb-hibernate-1.0.0.jar

署名が有効な場合、GnuPG は次のようなメッセージを出力します。

gpg: Signature made Wed Sep 16 19:15:35 2026 IST
gpg:                using RSA key 76E0008D166740A8
gpg: Good signature from "MongoDB Java Driver Release Signing Key <packaging@mongodb.com>" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 1A75 005E 1421 9222 3D6A 7C3B 76E0 008D 1667 40A8

有効な署名は、アーティファクトが署名されたリリースと一致することを確認します。結果を信頼する前に、キーのフィンガープリントと署名 ID を確認してください。