View a markdown version of this page

(可选) 在基于 Linux 的操作系统上验证 Amazon Inspector Classic 代理安装脚本的签名 - Amazon Inspector Classic
安装 GPG 工具验证并导入公有密钥验证软件包的签名

终止支持通知：2026年5月20日， AWS 将终止对Amazon Inspector Classic的支持。2026 年 5 月 20 日之后，您将无法再访问亚马逊 Inspector Classic 控制台或亚马逊 Inspector Classic 资源。Amazon Inspector Classic 不再适用于新账户和在过去 6 个月内未完成评估的账户。对于所有其他账户，访问权限将在 2026 年 5 月 20 日之前有效，之后您将无法再访问亚马逊 Inspector Classic 控制台或 Amazon Inspector Classic 资源。有关更多信息，请参阅 Amazon Inspector Classic 终止支持。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

(可选) 在基于 Linux 的操作系统上验证 Amazon Inspector Classic 代理安装脚本的签名

本主题描述验证基于 Linux 的操作系统的 Amazon Inspector Classic 代理安装脚本是否有效的建议的过程。

无论何时从 Internet 下载应用程序，我们都建议您验证软件发布者的身份，并检查应用程序从发行以来是否已遭更改或损坏。这会保护您免于安装含有病毒或其他恶意代码的应用程序版本。

如果您在执行本主题中的步骤后，确定适用于 Amazon Inspector Classic 代理的软件已遭更改或损坏，请不要运行安装文件。请联系 Amazon Web Services Support。

适用于基于 Linux 的操作系统的 Amazon Inspector Classic 代理文件是使用 GnuPG（安全数字签名的 Pretty Good Privacy 的开源式执行 (OpenPGP) 标准）进行签名的。GnuPG（也称为 GPG）通过数字签名提供身份验证和完整性检查。Amazon EC2 发布了您可用于验证下载的 Amazon EC2 CLI 工具的公有密钥和签名。有关 PGP 和 GnuPG (GPG) 的更多信息，请参阅 http://www.gnupg.org。

第一步是与软件发行商建立信任。下载软件发布者的公有密钥，检查公有密钥的所有人是否真为其人，然后将该公有密钥添加到您的密钥环。密钥环是已知公有密钥的集合。验证公有密钥的真实性后，您可以使用它来验证应用程序的签名。

安装 GPG 工具

如果您的操作系统是 Linux 或 Unix，GPG 工具很可能已经安装。要测试系统上是否已安装这些工具，请在命令提示符处键入 gpg。如果已安装 GPG 工具，您会看到 GPG 命令提示。如果没有安装 GPG 工具，您会看到错误信息，告诉您无法找到命令。您可以从存储库安装 GnuPG 包。

在基于 Debian 的 Linux 上安装 GPG 工具

  • 从终端设备运行以下命令：apt-get install gnupg。

在基于 Red Hat 的 Linux 上安装 GPG 工具

  • 从终端设备运行以下命令：yum install gnupg。

验证并导入公有密钥

本流程的下一步是验证 Amazon Inspector Classic 公有密钥，并在 GPG 密钥环中将其添加为可信任密钥。

验证并导入 Amazon Inspector Classic 公有密钥

  1. 通过执行下列操作之一获取公共 GPG 生成密钥的副本：

    • 从 https://d1wk0tztpsntt1.cloudfront 下载。 net/linux/latest/inspector.gpg。

    • 将以下文本中的密钥复制并粘贴到名为 inspector.gpg 的文件中。确保包含下列所有项：

      -----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v2.0.18 (GNU/Linux)
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=iEhB
-----END PGP PUBLIC KEY BLOCK-----

  2. 在保存 inspector.gpg 的目录中的命令提示符处，使用以下命令将 Amazon Inspector Classic 公有密钥导入密钥环：

    gpg --import inspector.gpg

    该命令返回的结果类似于下方内容：

    gpg: key 58360418: public key "Amazon Inspector <inspector@amazon.com>" imported
                    gpg: Total number processed: 1
                    gpg:               imported: 1  (RSA: 1)

    请记下该键值，因为下一步需要用到。在上一示例中，键值为 58360418。

  3. 通过运行以下命令，将 key-value 替换为上一步中的值来验证指纹：

    gpg --fingerprint key-value

    该命令返回的结果类似于下方内容：

    pub   4096R/58360418 2015-09-24
                Key fingerprint = DDA0 D4C5 10AE 3C20 6F46  6DC0 2474 0960 5836 0418
                uid                  Amazon Inspector <inspector@amazon.com>

    此外，指纹字符串应与上述示例中所示的 DDA0 D4C5 10AE 3C20 6F46 6DC0 2474 0960 5836 0418 相同。将返回的密钥指纹与此页上发布的指纹进行比较。它们应该相互匹配。如果它们不匹配，请不要安装 Amazon Inspector Classic 代理安装脚本，并联系 Amazon Web Services Support。

验证软件包的签名

在安装 GPG工具、验证并导入 Amazon Inspector Classic 公有密钥以及确认公有密钥可信后，便可以验证安装脚本的签名。

验证安装脚本签名

  1. 在命令提示符处，运行以下命令以下载安装脚本的签名文件：

    curl -O https://inspector-agent.amazonaws.com/linux/latest/install.sig

  2. 通过在保存 install.sig 和 Amazon Inspector Classic 安装文件的目录中的命令提示符处运行以下命令来验证签名。这两个文件都必须存在。

    gpg --verify ./install.sig

    输出应与以下内容类似：

    gpg: Signature made Thu 24 Sep 2015 03:19:09 PM UTC using RSA key ID 58360418
gpg: Good signature from "Amazon Inspector <inspector@amazon.com>" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: DDA0 D4C5 10AE 3C20 6F46  6DC0 2474 0960 5836 0418

    如果输出包含短语 Good signature from "Amazon Inspector <inspector@amazon.com>"，则意味着已成功验证签名，您可以继续运行 Amazon Inspector Classic 安装脚本。

    如果输出包含短语 BAD signature，则检查是否正确执行了此过程。如果您持续获得此响应，请不要运行之前下载的安装文件，而是联系 Amazon Web Services Support。

下面是有关您可能看到的警告的详细信息：

  • WARNING: This key is not certified with a trusted signature! There is no indication that the signature belongs to the owner. 这表示您坚信自己拥有 Amazon Inspector Classic的可信公有密钥的个人信任级别。理想情况下，您将前往 AWS 办公室并亲自接收此密钥。但更常见的情况是，从网站下载此密钥。在此示例中，该网站为 AWS 网站。

  • gpg: no ultimately trusted keys found. 这意味着您 (或您信任的其他人) 对特定密钥不是“绝对信任”。

有关更多信息，请参阅 http://www.gnupg.org。