Linux インスタンス用の Session Manager プラグイン RPM および Debian インストーラパッケージは、暗号化で署名されています。パブリックキーを使用して、プラグインバイナリとパッケージがオリジナルであり、変更されていないことを確認できます。ファイルが改変されていたり、損傷があった場合、確認は失敗します。GNU Privacy Guard (GPG) ツールを使用して、インストーラパッケージの署名を確認できます。以下の情報は Session Manager プラグインのバージョン 1.2.707.0 以降のものです。
Session Manager プラグインインストーラパッケージの署名を確認するには、次の手順を実行します。
トピック
ステップ 1: Session Manager プラグインインストーラーパッケージをダウンロードする
検証する Session Manager プラグインインストーラパッケージをダウンロードします。
Amazon Linux 2、AL2023、および RHEL RPM パッケージ
curl -o "session-manager-plugin.rpm" "https://s3.amazonaws.com/session-manager-downloads/plugin/latest/linux_64bit/session-manager-plugin.rpm"
Debian および Ubuntu Deb パッケージ
curl -o "session-manager-plugin.deb" "https://s3.amazonaws.com/session-manager-downloads/plugin/latest/ubuntu_64bit/session-manager-plugin.deb"
ステップ 2: 関連付けられた署名ファイルをダウンロードする
インストーラパッケージをダウンロードしたら、パッケージの検証のために関連する署名ファイルをダウンロードします。パッケージ内の session-manager-plugin バイナリファイルの不正なコピーや使用に対する保護を強化するために、個々のバイナリファイルの検証に使用できるバイナリ署名も提供しています。必要なセキュリティに応じて、これらのバイナリ署名を使用することを選択できます。
Amazon Linux 2、AL2023、および RHEL 署名パッケージ
パッケージ:
curl -o "session-manager-plugin.rpm.sig" "https://s3.amazonaws.com/session-manager-downloads/plugin/latest/linux_64bit/session-manager-plugin.rpm.sig"
バイナリ:
curl -o "session-manager-plugin.sig" "https://s3.amazonaws.com/session-manager-downloads/plugin/latest/linux_64bit/session-manager-plugin.sig"
Debian および Ubuntu Deb 署名パッケージ
パッケージ:
curl -o "session-manager-plugin.deb.sig" "https://s3.amazonaws.com/session-manager-downloads/plugin/latest/ubuntu_64bit/session-manager-plugin.deb.sig"
バイナリ:
curl -o "session-manager-plugin.sig" "https://s3.amazonaws.com/session-manager-downloads/plugin/latest/ubuntu_64bit/session-manager-plugin.sig"
ステップ 3: GPG ツールをインストールする
Session Manager プラグインの署名を確認するには、システムに GNU Privacy Guard (GPG) ツールがインストールされている必要があります。この検証プロセスには、GPG バージョン 2.1 以降が必要です。GPG バージョンは、以下のコマンドを実行することで確認できます。
gpg --version
GPG バージョンが 2.1 より古い場合は、検証プロセスに進む前に更新してください。ほとんどのシステムでは、パッケージマネージャーを使用して GPG ツールを更新できます。例えば、Amazon Linux AMI と RHEL システムでは、以下のコマンドを使用できます。
sudo yum update sudo yum install gnupg2
Ubuntu または Debian システムでは、以下のコマンドを使用できます。
sudo apt-get update sudo apt-get install gnupg2
検証プロセスを続行する前に、必要な GPG バージョンがあることを確認してください。
ステップ 4: Linux サーバーで Session Manager プラグインインストーラパッケージを確認する
Linux サーバーで Session Manager プラグインインストーラパッケージを検証するには、次の手順に従います。
注記
Amazon Linux 2 は、GPG ツールのバージョン 2.1 以降をサポートしていません。次の手順が Amazon Linux 2 インスタンスで機能しない場合は、Amazon Linux 2 インスタンスにインストールする前に、別のプラットフォームで署名を確認してください。
-
次のパブリックキーをコピーし、session-manager-plugin.gpg という名前のファイルに保存します。
-----BEGIN PGP PUBLIC KEY BLOCK----- mFIEZ5ERQxMIKoZIzj0DAQcCAwQjuZy+IjFoYg57sLTGhF3aZLBaGpzB+gY6j7Ix P7NqbpXyjVj8a+dy79gSd64OEaMxUb7vw/jug+CfRXwVGRMNtIBBV1MgU1NNIFNl c3Npb24gTWFuYWdlciA8c2Vzc2lvbi1tYW5hZ2VyLXBsdWdpbi1zaWduZXJAYW1h em9uLmNvbT4gKEFXUyBTeXN0ZW1zIE1hbmFnZXIgU2Vzc2lvbiBNYW5hZ2VyIFBs dWdpbiBMaW51eCBTaWduZXIgS2V5KYkBAAQQEwgAqAUCZ5ERQ4EcQVdTIFNTTSBT ZXNzaW9uIE1hbmFnZXIgPHNlc3Npb24tbWFuYWdlci1wbHVnaW4tc2lnbmVyQGFt YXpvbi5jb20+IChBV1MgU3lzdGVtcyBNYW5hZ2VyIFNlc3Npb24gTWFuYWdlciBQ bHVnaW4gTGludXggU2lnbmVyIEtleSkWIQR5WWNxJM4JOtUB1HosTUr/b2dX7gIe AwIbAwIVCAAKCRAsTUr/b2dX7rO1AQCa1kig3lQ78W/QHGU76uHx3XAyv0tfpE9U oQBCIwFLSgEA3PDHt3lZ+s6m9JLGJsy+Cp5ZFzpiF6RgluR/2gA861M= =2DQm -----END PGP PUBLIC KEY BLOCK----- -
公開鍵をキーリングにインポートします。返されるキー値は
2C4D4AFF6F6757EEである必要があります。$ gpg --import session-manager-plugin.gpg gpg: key 2C4D4AFF6F6757EE: public key "AWS SSM Session Manager <session-manager-plugin-signer@amazon.com> (AWS Systems Manager Session Manager Plugin Linux Signer Key)" imported gpg: Total number processed: 1 gpg: imported: 1 -
次のコマンドを実行して、フィンガープリントを検証します。
gpg --fingerprint 2C4D4AFF6F6757EEコマンド出力のフィンガープリントは、次のものと一致する必要があります。
7959 6371 24CE 093A D501 D47A 2C4D 4AFF 6F67 57EEpub nistp256 2025-01-22 [SC] 7959 6371 24CE 093A D501 D47A 2C4D 4AFF 6F67 57EE uid [ unknown] AWS Systems Manager Session Manager plugin <session-manager-plugin-signer@amazon.com> (AWS Systems Manager Session Manager Plugin Linux Signer Key)フィンガープリントが一致しない場合は、プラグインをインストールしないでください。AWS サポート に連絡する。
-
インストーラパッケージの署名を確認します。
signature-filenameおよびdownloaded-plugin-filenameは、このトピックの表で前述したように、署名ファイルおよび session-manager-plugin をダウンロードするときに指定した値に置き換えてください。gpg --verifysignature-filenamedownloaded-plugin-filename例えば、Amazon Linux 2 の x86_64 アーキテクチャの場合、コマンドは次のとおりです。
gpg --verify session-manager-plugin.rpm.sig session-manager-plugin.rpmこのコマンドは、次のような出力を返します。
gpg: Signature made Mon Feb 3 20:08:32 2025 UTC gpg: using ECDSA key 2C4D4AFF6F6757EE gpg: Good signature from "AWS Systems Manager Session Manager <session-manager-plugin-signer@amazon.com> (AWS Systems Manager Session Manager Plugin Linux Signer Key)" [unknown] gpg: WARNING: This key is not certified with a trusted signature! gpg: There is no indication that the signature belongs to the owner. Primary key fingerprint: 7959 6371 24CE 093A D501 D47A 2C4D 4AFF 6F67 57EE
出力結果に「BAD signature」という句が含まれる場合、手順が正しいことをもう一度確認してください。この応答が続く場合は、AWS サポート に連絡し、パッケージをインストールしないでください。信頼に関する警告メッセージは、署名が無効であることを意味するものではなく、パブリックキーを検証していないことを示すだけです。キーは、自分や信頼する人が署名した場合にのみ信頼できます。出力にフレーズ Can't check signature: No public key が含まれている場合、Session Manager バージョン 1.2.707.0 以降をダウンロードしたことを確認します。
