Verificar a assinatura do pacote do atendente do CloudWatch

Para verificar o pacote do atendente do CloudWatch em um servidor Linux

1. Baixar a chave pública.

   shell$ wget https://amazoncloudwatch-agent.s3.amazonaws.com/assets/amazon-cloudwatch-agent.gpg

2. Importe a chave pública em seu token de autenticação.

   shell$  gpg --import amazon-cloudwatch-agent.gpg
   gpg: key 3B789C72: public key "Amazon CloudWatch Agent" imported
   gpg: Total number processed: 1
   gpg: imported: 1 (RSA: 1)

   Anote o valor da chave, pois ele será necessário na próxima etapa. No exemplo anterior, o valor da chave é 3B789C72.

3. Verifique a impressão digital, executando o comando a seguir, substituindo chave-valor pelo valor da etapa anterior:

   shell$  gpg --fingerprint key-value
   pub   2048R/3B789C72 2017-11-14
         Key fingerprint = 9376 16F3 450B 7D80 6CBD  9725 D581 6730 3B78 9C72
   uid                  Amazon CloudWatch Agent

   A string de impressão digital deve ser igual a esta:

   9376 16F3 450B 7D80 6CBD 9725 D581 6730 3B78 9C72

   Se a string de impressão digital não coincidir, não instale o atendente. Entre em contato com a Amazon Web Services.

   Depois de verificar a impressão digital, você pode usá-la para verificar a assinatura do pacote do atendente do CloudWatch.

4. Faça download do arquivo signature do pacote usando o wget. Para determinar o arquivo de assinatura correto, consulte a tabela anterior.

   wget Signature File Link

5. Para verificar a assinatura, execute gpg --verify.

   shell$ gpg --verify signature-filename agent-download-filename
   gpg: Signature made Wed 29 Nov 2017 03:00:59 PM PST using RSA key ID 3B789C72
   gpg: Good signature from "Amazon CloudWatch Agent"
   gpg: WARNING: This key is not certified with a trusted signature!
   gpg:          There is no indication that the signature belongs to the owner.
   Primary key fingerprint: 9376 16F3 450B 7D80 6CBD  9725 D581 6730 3B78 9C72

   Se a saída inclui a frase BAD signature, verifique se você executou o procedimento corretamente. Se você continuar recebendo essa resposta, entre em contato com a Amazon Web Services e evite usar o arquivo baixado.

   Observe o aviso sobre confiança. Uma chave somente será confiável se você ou alguém em quem você confia a tiver assinado. Isso não significa que a assinatura é inválida, apenas que você não verificou a chave pública.

Para verificar o pacote do atendente do CloudWatch em um servidor executando Windows Server

1. Faça download e instale o GnuPG para Windows https://gnupg.org/download/. Ao instalar, inclua a opção Extensão Shell (GpgEx).

   Você pode executar as etapas restantes no Windows PowerShell.

2. Baixar a chave pública.

   PS> wget https://amazoncloudwatch-agent.s3.amazonaws.com/assets/amazon-cloudwatch-agent.gpg -OutFile amazon-cloudwatch-agent.gpg

3. Importe a chave pública em seu token de autenticação.

   PS>  gpg --import amazon-cloudwatch-agent.gpg
   gpg: key 3B789C72: public key "Amazon CloudWatch Agent" imported
   gpg: Total number processed: 1
   gpg: imported: 1 (RSA: 1)

   Anote o valor da chave, pois ele será necessário na próxima etapa. No exemplo anterior, o valor da chave é 3B789C72.

4. Verifique a impressão digital, executando o comando a seguir, substituindo chave-valor pelo valor da etapa anterior:

   PS>  gpg --fingerprint key-value
   pub   rsa2048 2017-11-14 [SC]
         9376 16F3 450B 7D80 6CBD  9725 D581 6730 3B78 9C72
   uid           [ unknown] Amazon CloudWatch Agent

   A string de impressão digital deve ser igual a esta:

   9376 16F3 450B 7D80 6CBD 9725 D581 6730 3B78 9C72

   Se a string de impressão digital não coincidir, não instale o atendente. Entre em contato com a Amazon Web Services.

   Depois de verificar a impressão digital, você pode usá-la para verificar a assinatura do pacote do atendente do CloudWatch.

5. Faça download do arquivo signature do pacote usando o wget. Para determinar o arquivo Signature correto, consulte Links de download do atendente do CloudWatch.

6. Para verificar a assinatura, execute gpg --verify.

   PS> gpg --verify sig-filename agent-download-filename
   gpg: Signature made 11/29/17 23:00:45 Coordinated Universal Time
   gpg:                using RSA key D58167303B789C72
   gpg: Good signature from "Amazon CloudWatch Agent" [unknown]
   gpg: WARNING: This key is not certified with a trusted signature!
   gpg:          There is no indication that the signature belongs to the owner.
   Primary key fingerprint: 9376 16F3 450B 7D80 6CBD  9725 D581 6730 3B78 9C72

   Se a saída inclui a frase BAD signature, verifique se você executou o procedimento corretamente. Se você continuar recebendo essa resposta, entre em contato com a Amazon Web Services e evite usar o arquivo baixado.

   Observe o aviso sobre confiança. Uma chave somente será confiável se você ou alguém em quem você confia a tiver assinado. Isso não significa que a assinatura é inválida, apenas que você não verificou a chave pública.

Para verificar o pacote do atendente do CloudWatch em um computador macOS

• Há dois métodos para verificação de assinatura no macOS.

  • Verifique a impressão digital executando o comando a seguir.

    pkgutil --check-signature amazon-cloudwatch-agent.pkg

    Será exibido um resultado semelhante ao exibido a seguir.

    Package "amazon-cloudwatch-agent.pkg":
            Status: signed by a developer certificate issued by Apple for distribution
            Signed with a trusted timestamp on: 2020-10-02 18:13:24 +0000
            Certificate Chain:
            1. Developer ID Installer: AMZN Mobile LLC (94KV3E626L)
            Expires: 2024-10-18 22:31:30 +0000
            SHA256 Fingerprint:
            81 B4 6F AF 1C CA E1 E8 3C 6F FB 9E 52 5E 84 02 6E 7F 17 21 8E FB
            0C 40 79 13 66 8D 9F 1F 10 1C
            ------------------------------------------------------------------------
            2. Developer ID Certification Authority
            Expires: 2027-02-01 22:12:15 +0000
            SHA256 Fingerprint:
            7A FC 9D 01 A6 2F 03 A2 DE 96 37 93 6D 4A FE 68 09 0D 2D E1 8D 03
            F2 9C 88 CF B0 B1 BA 63 58 7F
            ------------------------------------------------------------------------
            3. Apple Root CA
            Expires: 2035-02-09 21:40:36 +0000
            SHA256 Fingerprint:
            B0 B1 73 0E CB C7 FF 45 05 14 2C 49 F1 29 5E 6E DA 6B CA ED 7E 2C
            68 C5 BE 91 B5 A1 10 01 F0 24

  • Ou baixe e utilize o arquivo .sig. Para utilizar esse método, siga estas etapas.

    1. Instale a aplicação GPG no host do macOS inserindo o comando a seguir.

       brew install GnuPG

  • Baixe o arquivo de assinatura do pacote usando curl. Para determinar o arquivo Signature correto, consulte Links de download do atendente do CloudWatch.

  • Para verificar a assinatura, execute gpg --verify.

    PS> gpg --verify sig-filename agent-download-filename
    gpg: Signature made 11/29/17 23:00:45 Coordinated Universal Time
    gpg:                using RSA key D58167303B789C72
    gpg: Good signature from "Amazon CloudWatch Agent" [unknown]
    gpg: WARNING: This key is not certified with a trusted signature!
    gpg:          There is no indication that the signature belongs to the owner.
    Primary key fingerprint: 9376 16F3 450B 7D80 6CBD  9725 D581 6730 3B78 9C72

    Se a saída inclui a frase BAD signature, verifique se você executou o procedimento corretamente. Se você continuar recebendo essa resposta, entre em contato com a Amazon Web Services e evite usar o arquivo baixado.

    Observe o aviso sobre confiança. Uma chave somente será confiável se você ou alguém em quem você confia a tiver assinado. Isso não significa que a assinatura é inválida, apenas que você não verificou a chave pública.