如何验证可下载工件的签名

PGP

使用以下链接下载并导入我们的 PGP 密钥。

如果您正在使用 gpg，只需运行

gpg --import /path/to/key

然后，您可以将签名下载到与 tarball 相同的目录中，并运行以下命令来验证签名

gpg --verify /path/to/signature /path/to/tarball

我们对不同的发布版本使用不同的 PGP 密钥

• 对于 3.0.0 及更高版本，请使用指纹为以下值的密钥

  A8B2 D9E0 4CD5 1FEF 6AA2 DB53 BA81 D999 8119 1457

  此密钥的签名者为 release@opensearch.org。

  下载 3.0.0+ 版本的 PGP 密钥

• 对于 3.0.0 之前的版本，请使用指纹为以下值的密钥

  C5B7 4989 65EF D1C2 924B A9D5 39D3 1987 9310 D3FC

  此密钥的签名者为 opensearch@amazon.com。

  下载 3.0.0 之前版本的 PGP 密钥

如果成功，签名验证将显示来自相应电子邮件的 “良好签名”。

注意：如果出现“gpg: Note: This key has expired!”（gpg：注意：此密钥已过期！）字样，如 问题 2040 中最初所述，请下载最新的密钥。请参阅更改日志以了解日期。

只有 JDBC 驱动程序使用 JarSigner 签名。要在终端中验证签名，请运行

jarsigner -verify -verbose <path_to_jar>

ODBC 驱动程序 .msi 可以通过几种不同的方法进行验证。

在 PowerShell 5.1 以上版本中验证签名

Get-AuthenticodeSignature -FilePath <path_to_msi>

使用 SigCheck 验证签名

• 下载 SigCheck

使用 SignTool 验证签名

• 下载 SignTool

签名指纹

2DA2 DC02 8EE6 42CD 77C4 BA04 F289 1F24 7831 2C29

MacOS 的 ODBC 驱动程序安装程序的签名可以使用 `pgkutil` 进行验证。

要在终端中验证签名，请运行

pkgutil --verbose --check-signature <path_to_pkg>

证书指纹

49 68 39 4A BA 83 3B F0 CC 5E 98 3B E7 C1 72 AC 85 97 65 18 B9 4C BA 34 62 BF E9 23 76 98 C5 DA

签名电子邮件： opensearch@amazon.com(版本 1.x / 2.x)

签名电子邮件： release@opensearch.org(版本 3.0.0+)