(Optional) Überprüfen Sie die Signatur des Amazon Inspector Classic-Agenteninstallationsskripts auf Linux-basierten Betriebssystemen - Amazon Inspector Classic
Installieren der GPG-ToolsAuthentifizieren und Importieren des öffentlichen SchlüsselsVerifizieren der Signatur des Pakets

Dies ist das Benutzerhandbuch für Amazon Inspector Classic. Informationen zum neuen Amazon Inspector finden Sie im Amazon Inspector Inspector-Benutzerhandbuch. Um auf die Amazon Inspector Classic-Konsole zuzugreifen, öffnen Sie die Amazon Inspector-Konsole unter https://console.aws.amazon.com/inspector/und wählen Sie dann Amazon Inspector Classic im Navigationsbereich.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

(Optional) Überprüfen Sie die Signatur des Amazon Inspector Classic-Agenteninstallationsskripts auf Linux-basierten Betriebssystemen

In diesem Thema wird das empfohlene Verfahren zur Überprüfung der Gültigkeit des Installationsskripts des Amazon Inspector Classic-Agenten für Linux-basierte Betriebssysteme beschrieben.

Wenn Sie eine Anwendung aus dem Internet herunterladen, empfehlen wir Ihnen, die Identität des Softwareverlegers zu authentifizieren und zu überprüfen, ob die Anwendung seit ihrer Veröffentlichung nicht verändert oder beschädigt wurde. Dies schützt Sie davor, eine Version der Anwendung zu installieren, die einen Virus oder einen anderen bösartigen Code enthält.

Wenn Sie nach Ausführung der Schritte in diesem Thema feststellen, dass die Software für den Amazon Inspector Classic-Agent verändert oder beschädigt ist, führen Sie die Installationsdatei NICHT aus. Kontaktieren Sie stattdessen den AWS Support.

Amazon Inspector Classic-Agentendateien für Linux-basierte Betriebssysteme werden mit GnuPG einer Open-Source-Implementierung des Pretty Good Privacy (OpenPGP) -Standards für sichere digitale Signaturen signiert. GnuPG(auch bekannt alsGPG) ermöglicht Authentifizierung und Integritätsprüfung mithilfe einer digitalen Signatur. Amazon EC2 veröffentlicht einen öffentlichen Schlüssel und Signaturen, mit denen Sie die heruntergeladenen Amazon EC2 CLI-Tools überprüfen können. Weitere Informationen zu PGP und GnuPG (GPG) finden Sie unter http://www.gnupg.org.

Der erste Schritt besteht darin, eine Vertrauensstellung mit dem Software-Publisher zu schaffen. Laden Sie den öffentlichen Schlüssel des Softwareherausgebers herunter, überprüfen Sie, ob der Besitzer des öffentlichen Schlüssels derjenige ist, der er behauptet zu sein, und fügen Sie dann den öffentlichen Schlüssel zu Ihrem Schlüsselbund hinzu. Ihr Schlüsselbund ist eine Sammlung von bekannten öffentlichen Schlüsseln. Nachdem Sie die Echtheit des öffentlichen Schlüssels überprüft haben, können Sie ihn verwenden, um die Signatur der Anwendung zu überprüfen.

Installieren der GPG-Tools

Wenn Sie das Betriebssystem Linux oder Unix verwenden, sind die GPG-Tools wahrscheinlich bereits installiert. Um zu testen, ob die Tools auf Ihrem System installiert sind, geben Sie gpg in einer Eingabeaufforderung ein. Wenn die GPG-Tools installiert sind, sehen Sie eine Eingabeaufforderung. Wenn die GPG-Tools nicht installiert sind, sehen Sie eine Fehlermeldung, die anzeigt, dass der Befehl nicht gefunden werden kann. Sie können das GnuPG-Paket von einem Repository aus installieren.

So installieren Sie GPG-Tools auf Debian-basiertem Linux

  • Führen Sie von einem Terminal folgenden Befehl aus: apt-get install gnupg.

So installieren Sie GPG-Tools unter Red-Hat-basiertem Linux

  • Führen Sie von einem Terminal folgenden Befehl aus: yum install gnupg.

Authentifizieren und Importieren des öffentlichen Schlüssels

Der nächste Schritt in diesem Prozess besteht darin, den öffentlichen Schlüssel von Amazon Inspector Classic zu authentifizieren und ihn als vertrauenswürdigen Schlüssel zu Ihrem GPG Schlüsselbund hinzuzufügen.

Um den öffentlichen Schlüssel von Amazon Inspector Classic zu authentifizieren und zu importieren

  1. Besorgen Sie sich ein Exemplar unseres öffentlichen GPG-Schlüssels, indem Sie einen der folgenden Schritte ausführen:

    • Laden Sie es von https://d1wk0tztpsntt1.cloudfront herunter. net/linux/latest/inspector.gpg.

    • Kopieren Sie den Schlüssel aus dem folgenden Text und fügen Sie ihn in eine Datei namens inspector.gpg ein. Vergewissern Sie sich, alles Folgende einzubeziehen:

      -----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v2.0.18 (GNU/Linux)
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=iEhB
-----END PGP PUBLIC KEY BLOCK-----

  2. Verwenden Sie an einer Befehlszeile in dem Verzeichnis, in dem Sie inspector.gpg gespeichert haben, den folgenden Befehl, um den öffentlichen Schlüssel von Amazon Inspector Classic in Ihren Schlüsselbund zu importieren:

    gpg --import inspector.gpg

    Der Befehl gibt Ergebnisse wie die folgenden zurück:

    gpg: key 58360418: public key "Amazon Inspector <inspector@amazon.com>" imported
                    gpg: Total number processed: 1
                    gpg:               imported: 1  (RSA: 1)

    Notieren Sie sich den Schlüsselwert. Sie brauchen ihn im nächsten Schritt. Im vorangegangenen Beispiel ist der Schlüsselwert 58360418.

  3. Überprüfen Sie den Fingerabdruck, indem Sie den folgenden Befehl ausführen und Schlüssel-Wert durch den Wert des vorherigen Schritts ersetzen:

    gpg --fingerprint key-value

    Dieser Befehl gibt Ergebnisse wie die folgenden zurück:

    pub   4096R/58360418 2015-09-24
                Key fingerprint = DDA0 D4C5 10AE 3C20 6F46  6DC0 2474 0960 5836 0418
                uid                  Amazon Inspector <inspector@amazon.com>

    Zusätzlich sollte der Fingerabdruck-String identisch mit DDA0 D4C5 10AE 3C20 6F46 6DC0 2474 0960 5836 0418 sein, wie im voranstehenden Beispiel angezeigt. Vergleichen Sie den Schlüssel-Fingerabdruck mit demjenigen, der auf dieser Seite veröffentlicht ist. Sie sollten übereinstimmen. Wenn sie nicht übereinstimmen, installieren Sie das Agenteninstallationsskript von Amazon Inspector Classic nicht und wenden Sie sich an den AWS-Support.

Verifizieren der Signatur des Pakets

Nachdem Sie die GPG Tools installiert, den öffentlichen Schlüssel von Amazon Inspector Classic authentifiziert und importiert und sich vergewissert haben, dass der öffentliche Schlüssel vertrauenswürdig ist, können Sie die Signatur des Installationsskripts überprüfen.

So überprüfen Sie die Signatur des -Installationsskripts

  1. Führen Sie bei einer Eingabeaufforderung den folgenden Befehl aus, um die Signaturdatei für das Installationsskript herunterzuladen:

    curl -O https://inspector-agent.amazonaws.com/linux/latest/install.sig

  2. Überprüfen Sie die Signatur, indem Sie den folgenden Befehl an einer Eingabeaufforderung in dem Verzeichnis ausführen, in dem Sie sie gespeichert haben, install.sig und in der Amazon Inspector Classic-Installationsdatei. Beide Dateien müssen vorhanden sein.

    gpg --verify ./install.sig

    Die Ausgabe sollte wie folgt aussehen:

    gpg: Signature made Thu 24 Sep 2015 03:19:09 PM UTC using RSA key ID 58360418
gpg: Good signature from "Amazon Inspector <inspector@amazon.com>" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: DDA0 D4C5 10AE 3C20 6F46  6DC0 2474 0960 5836 0418

    Wenn die Ausgabe den Ausdruck enthältGood signature from "Amazon Inspector <inspector@amazon.com>", bedeutet dies, dass die Signatur erfolgreich verifiziert wurde und Sie mit der Ausführung des Amazon Inspector Classic-Installationsskripts fortfahren können.

    Wenn die Ausgabe die Bezeichnung BAD signatureenthält, überprüfen Sie, ob Sie das Verfahren korrekt durchgeführt haben. Wenn Sie diese Antwort weiterhin erhalten, führen Sie die Installationsdatei, die Sie zuvor heruntergeladen haben, nicht aus, und kontaktieren Sie AWS Support.

Im Folgenden finden Sie Details zu den Warnungen, die möglicherweise angezeigt werden:

  • WARNUNG: Dieser Schlüssel ist nicht mit einer vertrauenswürdigen Signatur zertifiziert! Es gibt keinen Hinweis darauf, dass die Signatur dem Besitzer gehört. Dies bezieht sich auf Ihr persönliches Vertrauen in Ihre Überzeugung, dass Sie einen authentischen öffentlichen Schlüssel für Amazon Inspector Classic besitzen. In einer idealen Welt würden Sie ein AWS-Büro aufsuchen und den Schlüssel persönlich erhalten. Doch häufiger laden Sie ihn von einer Website herunter. In diesem Fall handelt es sich bei der Website um eine AWS-Website.

  • gpg: Keine endgültig vertrauenswürdigen Schlüssel gefunden Dies bedeutet, dass der bestimmte Schlüssel nicht "endgültig vertrauenswürdig" für Sie oder für andere Personen ist, denen Sie vertrauen.

Weitere Informationen finden Sie unter http://www.gnupg.org.