Vérification de la signature du package de l' CloudWatch agent

Pour vérifier le package de CloudWatch l'agent sur un serveur Linux

1. Téléchargez la clé publique.

   shell$ wget https://amazoncloudwatch-agent.s3.amazonaws.com/assets/amazon-cloudwatch-agent.gpg

2. Importez la clé publique dans votre porte-clés.

   shell$  gpg --import amazon-cloudwatch-agent.gpg
   gpg: key 3B789C72: public key "Amazon CloudWatch Agent" imported
   gpg: Total number processed: 1
   gpg: imported: 1 (RSA: 1)

   Notez la valeur de la clé ; vous en aurez besoin lors de l'étape suivante. Dans l'exemple précédent, la valeur de la clé est 3B789C72.

3. Vérifiez l'empreinte digitale en exécutant la commande suivante, en la key-value remplaçant par la valeur de l'étape précédente :

   shell$  gpg --fingerprint key-value
   pub   2048R/3B789C72 2017-11-14
         Key fingerprint = 9376 16F3 450B 7D80 6CBD  9725 D581 6730 3B78 9C72
   uid                  Amazon CloudWatch Agent

   La chaîne d'empreinte digitale doit être égale à ce qui suit :

   9376 16F3 450B 7D80 6CBD 9725 D581 6730 3B78 9C72

   Si la chaîne d'empreintes ne correspond pas, n'installez pas l'agent. Contactez Amazon Web Services.

   Après avoir vérifié l'empreinte digitale, vous pouvez l'utiliser pour vérifier la signature du package de l' CloudWatch agent.

4. Téléchargez le fichier SIGNATURE de package avec wget. Pour déterminer le fichier SIGNATURE adéquat, consultez le tableau précédent.

   wget Signature File Link

5. Pour vérifier la signature, exécutez gpg --verify.

   shell$ gpg --verify signature-filename agent-download-filename
   gpg: Signature made Wed 29 Nov 2017 03:00:59 PM PST using RSA key ID 3B789C72
   gpg: Good signature from "Amazon CloudWatch Agent"
   gpg: WARNING: This key is not certified with a trusted signature!
   gpg:          There is no indication that the signature belongs to the owner.
   Primary key fingerprint: 9376 16F3 450B 7D80 6CBD  9725 D581 6730 3B78 9C72

   Si le résultat inclut l’expression BAD signature, vérifiez si vous avez effectué la procédure correctement. Si vous continuez à obtenir cette réponse, contactez Amazon Web Services et évitez d'utiliser le fichier téléchargé.

   Notez l'avertissement sur la confiance. Une clé est uniquement approuvée si vous ou une personne de confiance l'a signée. Cela ne signifie pas que la signature n'est pas valide, mais seulement que vous n'avez pas vérifié la clé publique.

Pour vérifier le package de l' CloudWatch agent sur un serveur exécutant Windows Server

1. Téléchargez et installez GnuPG pour Windows à partir de https://gnupg.org/download/. Lors de l'installation, incluez l'option Shell Extension (GpgEx).

   Vous pouvez effectuer les étapes restantes sous Windows PowerShell.

2. Téléchargez la clé publique.

   PS> wget https://amazoncloudwatch-agent.s3.amazonaws.com/assets/amazon-cloudwatch-agent.gpg -OutFile amazon-cloudwatch-agent.gpg

3. Importez la clé publique dans votre porte-clés.

   PS>  gpg --import amazon-cloudwatch-agent.gpg
   gpg: key 3B789C72: public key "Amazon CloudWatch Agent" imported
   gpg: Total number processed: 1
   gpg: imported: 1 (RSA: 1)

   Notez la valeur de la clé, car vous en aurez besoin lors de l'étape suivante. Dans l'exemple précédent, la valeur de la clé est 3B789C72.

4. Vérifiez l'empreinte digitale en exécutant la commande suivante, en la key-value remplaçant par la valeur de l'étape précédente :

   PS>  gpg --fingerprint key-value
   pub   rsa2048 2017-11-14 [SC]
         9376 16F3 450B 7D80 6CBD  9725 D581 6730 3B78 9C72
   uid           [ unknown] Amazon CloudWatch Agent

   La chaîne d'empreinte digitale doit être égale à ce qui suit :

   9376 16F3 450B 7D80 6CBD 9725 D581 6730 3B78 9C72

   Si la chaîne d'empreintes ne correspond pas, n'installez pas l'agent. Contactez Amazon Web Services.

   Après avoir vérifié l'empreinte digitale, vous pouvez l'utiliser pour vérifier la signature du package de l' CloudWatch agent.

5. Téléchargez le fichier SIGNATURE de package avec wget. Pour déterminer le fichier signature approprié, consultez la section relative aux Liens de téléchargement de l'agent CloudWatch .

6. Pour vérifier la signature, exécutez gpg --verify.

   PS> gpg --verify sig-filename agent-download-filename
   gpg: Signature made 11/29/17 23:00:45 Coordinated Universal Time
   gpg:                using RSA key D58167303B789C72
   gpg: Good signature from "Amazon CloudWatch Agent" [unknown]
   gpg: WARNING: This key is not certified with a trusted signature!
   gpg:          There is no indication that the signature belongs to the owner.
   Primary key fingerprint: 9376 16F3 450B 7D80 6CBD  9725 D581 6730 3B78 9C72

   Si le résultat inclut l’expression BAD signature, vérifiez si vous avez effectué la procédure correctement. Si vous continuez à obtenir cette réponse, contactez Amazon Web Services et évitez d'utiliser le fichier téléchargé.

   Notez l'avertissement sur la confiance. Une clé est uniquement approuvée si vous ou une personne de confiance l'a signée. Cela ne signifie pas que la signature n'est pas valide, mais seulement que vous n'avez pas vérifié la clé publique.

Pour vérifier le package de CloudWatch l'agent sur un ordinateur macOS

• Il existe deux méthodes de vérification de signature sur macOS.

  • Vérifiez l'empreinte digitale en exécutant la commande suivante.

    pkgutil --check-signature amazon-cloudwatch-agent.pkg

    Le résultat doit ressembler à ce qui suit.

    Package "amazon-cloudwatch-agent.pkg":
            Status: signed by a developer certificate issued by Apple for distribution
            Signed with a trusted timestamp on: 2020-10-02 18:13:24 +0000
            Certificate Chain:
            1. Developer ID Installer: AMZN Mobile LLC (94KV3E626L)
            Expires: 2024-10-18 22:31:30 +0000
            SHA256 Fingerprint:
            81 B4 6F AF 1C CA E1 E8 3C 6F FB 9E 52 5E 84 02 6E 7F 17 21 8E FB
            0C 40 79 13 66 8D 9F 1F 10 1C
            ------------------------------------------------------------------------
            2. Developer ID Certification Authority
            Expires: 2027-02-01 22:12:15 +0000
            SHA256 Fingerprint:
            7A FC 9D 01 A6 2F 03 A2 DE 96 37 93 6D 4A FE 68 09 0D 2D E1 8D 03
            F2 9C 88 CF B0 B1 BA 63 58 7F
            ------------------------------------------------------------------------
            3. Apple Root CA
            Expires: 2035-02-09 21:40:36 +0000
            SHA256 Fingerprint:
            B0 B1 73 0E CB C7 FF 45 05 14 2C 49 F1 29 5E 6E DA 6B CA ED 7E 2C
            68 C5 BE 91 B5 A1 10 01 F0 24

  • Ou, téléchargez et utilisez le fichier .sig. Pour utiliser cette méthode, procédez comme suit.

    1. Installez l'application GPG sur votre hôte macOS en saisissant la commande suivante.

       brew install GnuPG

  • Téléchargez le fichier signature de package avec curl. Pour déterminer le fichier signature approprié, consultez la section relative aux Liens de téléchargement de l'agent CloudWatch .

  • Pour vérifier la signature, exécutez gpg --verify.

    PS> gpg --verify sig-filename agent-download-filename
    gpg: Signature made 11/29/17 23:00:45 Coordinated Universal Time
    gpg:                using RSA key D58167303B789C72
    gpg: Good signature from "Amazon CloudWatch Agent" [unknown]
    gpg: WARNING: This key is not certified with a trusted signature!
    gpg:          There is no indication that the signature belongs to the owner.
    Primary key fingerprint: 9376 16F3 450B 7D80 6CBD  9725 D581 6730 3B78 9C72

    Si le résultat inclut l’expression BAD signature, vérifiez si vous avez effectué la procédure correctement. Si vous continuez à obtenir cette réponse, contactez Amazon Web Services et évitez d'utiliser le fichier téléchargé.

    Notez l'avertissement sur la confiance. Une clé est uniquement approuvée si vous ou une personne de confiance l'a signée. Cela ne signifie pas que la signature n'est pas valide, mais seulement que vous n'avez pas vérifié la clé publique.