MongoDB Enterprise Kubernetes Operatorパッケージの整合性を検証

項目一覧

Linux/macOS パッケージの検証

MongoDB Enterprise Kubernetes Operator 1.26.0以降、MongoDB リリースチームは MongoDB Enterprise Kubernetes Operator パッケージにデジタル署名し、有効で改変されていない MongoDB リリースであることを証明します。 MongoDB Enterprise Kubernetes Operator をインストールする前に、提供されている PGP 署名または SHA- 256チェックサム値を使ってパッケージを検証します。

PGP 署名は、改ざんを防止するためにファイルの信頼性と整合性の両方をチェックすることで、最も強力な保証を提供します。

Linux/macOS パッケージの検証

前提条件

次のコマンドを実行して、署名キーを取得します。

wget https://cosign.mongodb.com/mongodb-enterprise-kubernetes-operator.pem

Cosign を使用する

MongoDB は、各リリースブランチに署名ファイルで署名します。公開鍵ファイルを使用して、バイナリの認証性を確認できます。

MongoDB のインストールファイルをダウンロードします。

ARM 64アーキテクチャで Darwin を使用して 1.26.0リリースをダウンロードするには、次のコマンドを実行します。

wget https://github.com/mongodb/mongodb-enterprise-kubernetes/releases/download/1.26.0/kubectl-mongodb_1.26.0_darwin_arm64.tar.gz

Saving : « kubectl-mongodb_1.26.0_darwin_arm64.tar.gz »

MongoDB インストールファイルを解凍します。

tar -xvzf kubectl-mongodb_1.26.0_darwin_arm64.tar.gz

x kubectl-mongodb.sig
x kubectl-mongodb

MongoDB インストールファイルを検証します。

次のコマンドを実行します:

cosign verify-blob --key mongodb-enterprise-kubernetes-operator.pem --signature kubectl-mongodb.sig kubectl-mongodb

Verified OK

Use Images

公開された Docker イメージの署名を検証することもできます。次の例は、 MongoDB Enterprise Kubernetes Operator 1.26.0 の署名を検証する方法を示しています。画像:

cosign verify --key mongodb-enterprise-kubernetes-operator.pem quay.io/mongodb/mongodb-enterprise-operator-ubi:1.26.0 --insecure-ignore-tlog

WARNING: Skipping tlog verification is an insecure practice that lacks of transparency and auditability verification for the signature.
Verification for quay.io/mongodb/mongodb-enterprise-operator-ubi:1.26.0 --
The following checks were performed on each of these signatures:
- The cosign claims were validated
- The signatures were verified against the specified public key
[{"critical":{"identity":{"docker-reference":"quay.io/mongodb/mongodb-enterprise-operator-ubi:1.26.0"},"image":{"docker-manifest-digest":"sha256:9281935b4c36e0e4feebcf577abf21291ce0b517e7f637e6eaaf9769642abdd3"},"type":"cosign container image signature"},"optional":null}]

戻る

インストール

アップグレード