A partir do Cloud Manager 7.2.0.488-1, a equipe de lançamento do MongoDB assina digitalmente os pacotes do Cloud Manager para certificar que são versões válidas e inalteradas do MongoDB . Antes de instalar o Cloud Manager, valide o pacote usando a assinatura PGP fornecida.
As assinaturas PGP fornecem as mais fortes garantias, verificando a autenticidade e a integridade de um arquivo para evitar violações.
Verificar um arquivo PGP/GPG
O MongoDB assina cada ramificação de versão com uma chave PGP diferente. Os arquivos de chave pública do MongoDB Agent estão disponíveis para download no servidor de chaves nos formatos textual .asc e binário .pub em automation-agent.asc e automation-agent.pub, respectivamente.
Baixe o binário do MongoDB Agent .
Baixe as chaves públicas para seus binários no servidor de chaves. Você pode selecionar automation-agent.asc ou automation-agent.pub.
Por exemplo, utilize este comando para baixar o MongoDB Agent 13.14.0.8757-1:
curl -LO https://cloud.mongodb.com/download/agent/automation/mongodb-mms-automation-agent-13.14.0.8757-1.amzn2_aarch64.tar.gz
Baixe e importe o arquivo de chave.
Se você não baixou e importou a chave pública MongoDB , execute estes comandos:
curl -LO https://pgp.mongodb.com/automation-agent.asc gpg --import automation-agent.asc
O PGP deve retornar uma resposta semelhante à seguinte:
gpg: key B2F05BD0A068169E: public key "MongoDB Agent Release Signing Key <packaging@mongodb.com>" imported gpg: Total number processed: 1 gpg: imported: 1
Verifique o binário do MongoDB Agent .
Para verificar o binário do MongoDB Agent , execute este comando:
gpg --verify mongodb-mms-automation-agent-13.14.0.8757-1.amzn2_aarch64.tar.gz.sig mongodb-mms-automation-agent-13.14.0.8757-1.amzn2_aarch64.tar.gz
O GPG deve retornar uma resposta semelhante à seguinte:
gpg: Signature made Fri Mar 22 16:19:18 2024 EDT gpg: using RSA key F197D2C460DEC1B0674D3DEBB2F05BD0A068169E gpg: Good signature from "MongoDB Agent Release Signing Key <packaging@mongodb.com>" [unknown]
Se o pacote estiver devidamente assinado, mas você ainda não confiar na chave de assinatura em seu trustdb local, gpg também retornará a seguinte mensagem:
gpg: WARNING: This key is not certified with a trusted signature! gpg: There is no indication that the signature belongs to the owner. Primary key fingerprint: E162 F504 A20C DF15 827F 718D 4B7C 549A 058F 8B6B
Se você receber a seguinte mensagem de erro, confirme se importou a chave pública correta:
gpg: Can't check signature: public key not found