MongoDB Enterprise Kubernetes Operatorパッケージの整合性を検証
MongoDB Enterprise Kubernetes Operator 1.26.0以降、MongoDB リリースチームは MongoDB Enterprise Kubernetes Operator パッケージにデジタル署名し、有効で改変されていない MongoDB リリースであることを証明します。 MongoDB Enterprise Kubernetes Operator をインストールする前に、提供されている PGP 署名または SHA- 256チェックサム値を使ってパッケージを検証します。
PGP 署名は、改ざんを防止するためにファイルの信頼性と整合性の両方をチェックすることで、最も強力な保証を提供します。
Linux/macOS パッケージの検証
前提条件
次のコマンドを実行して、署名キーを取得します。
wget https://cosign.mongodb.com/mongodb-enterprise-kubernetes-operator.pem
Cosign を使用する
MongoDB は、各リリース ブランチに署名ファイルで署名します。 公開鍵ファイルを使用して、バイナリの認証性を確認できます。
1
2
Use Images
公開された Docker イメージの署名を検証することもできます。 次の例は、 MongoDB Enterprise Kubernetes Operator 1.26.0 の署名を検証する方法を示しています。 画像:
cosign verify --key mongodb-enterprise-kubernetes-operator.pem quay.io/mongodb/mongodb-enterprise-operator-ubi:1.26.0 --insecure-ignore-tlog
WARNING: Skipping tlog verification is an insecure practice that lacks of transparency and auditability verification for the signature. Verification for quay.io/mongodb/mongodb-enterprise-operator-ubi:1.26.0 -- The following checks were performed on each of these signatures: - The cosign claims were validated - The signatures were verified against the specified public key [{"critical":{"identity":{"docker-reference":"quay.io/mongodb/mongodb-enterprise-operator-ubi:1.26.0"},"image":{"docker-manifest-digest":"sha256:9281935b4c36e0e4feebcf577abf21291ce0b517e7f637e6eaaf9769642abdd3"},"type":"cosign container image signature"},"optional":null}]