Verificar a integridade dos drivers do MongoDB para pacotes do Kubernetes Operator

A equipe de lançamento do MongoDB assina digitalmente os pacotes MongoDB Operators for Kubernetes Operator para certificar que são versões válidas e inalteradas do MongoDB . Antes de instalar o MongoDB Drivers for Kubernetes Operator, valide o pacote usando a assinatura PGP fornecida ou a checksum SHA-256.

As assinaturas PGP fornecem as mais fortes garantias, verificando a autenticidade e a integridade de um arquivo para evitar violações.

Verifique os pacotes Linux/macOS

Pré-requisitos

Execute o seguinte comando para obter nossa chave de assinatura:

wget https://cosign.mongodb.com/mongodb-enterprise-kubernetes-operator.pem

Usar Cosign

O MongoDB assina cada ramificação de lançamento com um arquivo de assinatura. Você pode verificar a autenticidade do binário com nosso arquivo de chave pública.

Baixe o arquivo de instalação MongoDB.

Para fazer download da versão 1.0.0 usando o Darwin com uma arquitetura ARM64 , execute o seguinte comando:

wget https://github.com/mongodb/mongodb-kubernetes/releases/download/1.0.0/public/kubectl-mongodb_1.0.0_darwin_arm64.tar.gz

Saving : « kubectl-mongodb_1.0.0_darwin_arm64.tar.gz »

Descompacte o arquivo de instalação MongoDB .

tar -xvzf kubectl-mongodb_1.0.0_darwin_arm64.tar.gz

x kubectl-mongodb.sig
x kubectl-mongodb

Verifique o arquivo de instalação do MongoDB.

Execute o seguinte comando:

cosign verify-blob --key mongodb-enterprise-kubernetes-operator.pem --signature kubectl-mongodb.sig kubectl-mongodb

Verified OK

Use Images

Você também pode verificar a assinatura de quaisquer imagens Docker publicadas. O exemplo a seguir mostra como verificar a assinatura dos Controladores MongoDB para o Operador Kubernetes 1.0.0 imagem:

cosign verify --key mongodb-enterprise-kubernetes-operator.pem quay.io/mongodb/mongodb-enterprise-kubernetes-operator:1.0.0 --insecure-ignore-tlog

WARNING: Skipping tlog verification is an insecure practice that lacks of transparency and auditability verification for the signature.
Verification for quay.io/mongodb/mongodb-kubernetes-operator:1.0.0 --
The following checks were performed on each of these signatures:
- The cosign claims were validated
- The signatures were verified against the specified public key
[{"critical":{"identity":{"docker-reference":"quay.io/mongodb/mongodb-kubernetes-operator:1.0.0"},"image":{"docker-manifest-digest":"sha256:9281935b4c36e0e4feebcf577abf21291ce0b517e7f637e6eaaf9769642abdd3"},"type":"cosign container image signature"},"optional":null}]

Voltar

Migrar

atualização