Opcional: verificar a integridade do instalador da CLI do AWS SAM

Ao instalar a Interface da Linha de Comando (AWS SAM CLI) do AWS Serverless Application Model usando um instalador de pacotes, você pode verificar sua integridade antes da instalação. Essa etapa é opcional, mas altamente recomendada.

As duas opções de verificação disponíveis para você são:

• Verifique o arquivo de assinatura do instalador do pacote.

• Verifique o valor do hash do instalador do pacote.

Quando disponível para sua plataforma, recomendamos verificar a opção de arquivo de assinatura. Essa opção oferece uma camada extra de segurança, pois os valores-chave são publicados aqui e gerenciados separadamente do nosso repositório GitHub.

Verifique o arquivo de assinatura do instalador

Linux

arm64 - instalador de linha de comando

O AWS SAM usa o GnuPG para assinar o instalador AWS SAM CLI .zip. A verificação é executada nas seguintes etapas:

1. Use a chave pública primária para verificar a chave pública do signatário.

2. Use a chave pública do signatário para verificar o instalador do pacote AWS SAM CLI.

Para verificar a integridade da chave pública do signatário

1. Copie a chave pública primária e salve-a em sua máquina local como um arquivo .txt. Por exemplo, primary-public-key.txt.

   -----BEGIN PGP PUBLIC KEY BLOCK-----
   Version: GnuPG v2.0.22 (GNU/Linux)
   
   mQINBGRuSzMBEADsqiwOy78w7F4+sshaMFRIwRGNRm94p5Qey2KMZBxekFtoryVD
   D9jEOnvupx4tvhfBHz5EcUHCEOdl4MTqdBy6vVAshozgxVb9RE8JpECn5lw7XC69
   4Y7Gy1TKKQMEWtDXElkGxIFdUWvWjSnPlzfnoXwQYGeE93CUS3h5dImP22Yk1Ct6
   eGGhlcbg1X4L8EpFMj7GvcsU8f7ziVI/PyC1Xwy39Q8/I67ip5eU5ddxO/xHqrbL
   YC7+8pJPbRMej2twT2LrcpWWYAbprMtRoa6WfE0/thoo3xhHpIMHdPfAA86ZNGIN
   kRLjGUg7jnPTRW4Oin3pCc8nT4Tfc1QERkHm641gTC/jUvpmQsM6h/FUVP2i5iE/
   JHpJcMuL2Mg6zDo3x+3gTCf+Wqz3rZzxB+wQT3yryZs6efcQy7nROiRxYBxCSXX0
   2cNYzsYLb/bYaW8yqWIHD5IqKhw269gp2E5Khs60zgS3CorMb5/xHgXjUCVgcu8a
   a8ncdf9fjl3WS5p0ohetPbO2ZjWv+MaqrZOmUIgKbA4RpWZ/fU97P5BW9ylwmIDB
   sWy0cMxg8MlvSdLytPieogaM0qMg3u5qXRGBr6Wmevkty0qgnmpGGc5zPiUbtOE8
   CnFFqyxBpj5IOnG0KZGVihvn+iRxrv6GO7WWO92+Dc6m94U0EEiBR7QiOwARAQAB
   tDRBV1MgU0FNIENMSSBQcmltYXJ5IDxhd3Mtc2FtLWNsaS1wcmltYXJ5QGFtYXpv
   bi5jb20+iQI/BBMBCQApBQJkbkszAhsvBQkHhM4ABwsJCAcDAgEGFQgCCQoLBBYC
   AwECHgECF4AACgkQQv1fenOtiFqTuhAAzi5+ju5UVOWqHKevOJSO08T4QB8HcqAE
   SVO3mY6/j29knkcL8ubZP/DbpV7QpHPI2PB5qSXsiDTP3IYPbeY78zHSDjljaIK3
   njJLMScFeGPyfPpwMsuY4nzrRIgAtXShPA8N/k4ZJcafnpNqKj7QnPxiC1KaIQWm
   pOtvb8msUF3/s0UTa5Ys/lNRhVC0eGg32ogXGdojZA2kHZWdm9udLo4CDrDcrQT7
   NtDcJASapXSQL63XfAS3snEc4e1941YxcjfYZ33rel8K9juyDZfi1slWR/L3AviI
   QFIaqSHzyOtP1oinUkoVwL8ThevKD3Ag9CZflZLzNCV7yqlF8RlhEZ4zcE/3s9El
   WzCFsozb5HfE1AZonmrDh3SyOEIBMcS6vG5dWnvJrAuSYv2rX38++K5Pr/MIAfOX
   DOI1rtA+XDsHNv9lSwSy0lt+iClawZANO9IXCiN1rOYcVQlwzDFwCNWDgkwdOqS0
   gOA2f8NF9lE5nBbeEuYquoOl1Vy8+ICbgOFs9LoWZlnVh7/RyY6ssowiU9vGUnHI
   L8f9jqRspIz/Fm3JD86ntZxLVGkeZUz62FqErdohYfkFIVcv7GONTEyrz5HLlnpv
   FJ0MR0HjrMrZrnOVZnwBKhpbLocTsH+3t5It4ReYEX0f1DIOL/KRwPvjMvBVkXY5
   hblRVDQoOWc=
   =d9oG
   -----END PGP PUBLIC KEY BLOCK-----

2. Importe a chave pública primária para o seu chaveiro.

   $ gpg --import primary-public-key.txt
   							
   gpg: directory `/home/.../.gnupg' created
   gpg: new configuration file `/home/.../.gnupg/gpg.conf' created
   gpg: WARNING: options in `/home/.../.gnupg/gpg.conf' are not yet active during this run
   gpg: keyring `/home/.../.gnupg/secring.gpg' created
   gpg: keyring `/home/.../.gnupg/pubring.gpg' created
   gpg: /home/.../.gnupg/trustdb.gpg: trustdb created
   gpg: key 73AD885A: public key "AWS SAM CLI Primary <[e-mail]>" imported
   gpg: Total number processed: 1
   gpg:               imported: 1  (RSA: 1)

3. Copie a chave pública do signatário e salve-a em sua máquina local como um arquivo .txt. Por exemplo, signer-public-key.txt.

   -----BEGIN PGP PUBLIC KEY BLOCK-----
   Version: GnuPG v2.0.22 (GNU/Linux)
   
   mQINBGRtS20BEAC7GjaAwverrB1zNEu2q3EGI6HC37WzwL5dy30f4LirZOWS3piK
   oKfTqPjXPrLCf1GL2mMqUSgSnpEbPNXuvWTW1CfSnnjwuH8ZqbvvUQyHJwQyYpKm
   KMwb+8V0bzzQkMzDVqolYQCi5XyGpAuo3wroxXSzG6r/mIhbiq3aRnL+2lo4XOYk
   r7q9bhBqbJhzjkm7N62PhPWmi/+/EGdEBakA1pReE+cKjP2UAp5L6CPShQl2fRKL
   9BumitNfFHHs1JZgZSCCruiWny3XkUaXUEMfyoE9nNbfqNvuqV2KjWguZCXASgz2
   ZSPF4DTVIBMfP+xrZGQSWdGU/67QdysDQW81TbFOjK9ZsRwwGC4kbg/K98IsCNHT
   ril5RZbyr8pw3fw7jYjjI2ElAacRWp53iRzvutm5AruPpLfoKDQ/tKzBUYItBwlu
   Z/diKgcqtw7xDlyqNyTN8xFPFqMO2I8IsZ2Pdl131htdFiZMiin1RQG9pV9p2vHS
   eQVY2uKCnvnA6vFCQYKXP7p0IwReuPNzDvECUsidw8VTakTqZsANT/bU17e4KuKn
   +JgbNrKOasJX37sDb/9ruysozLvy78ozYKJDLmC3yoRQ8DhEjviT4cnjORgNmvnZ
   0a5AA/DJPQW4buRrXdxu+fITzBxQn2+GO/iDNCxtJaq5SYVBKjTmTWPUJwARAQAB
   tDBBV1MgU0FNIENMSSBUZWFtIDxhd3Mtc2FtLWNsaS1zaWduZXJAYW1hem9uLmNv
   bT6JAj8EEwEJACkFAmRtS20CGy8FCQPCZwAHCwkIBwMCAQYVCAIJCgsEFgIDAQIe
   AQIXgAAKCRDHoF9D/grd+lE4D/4kJW65He2LNsbLTta7lcGfsEXCf4zgIvkytS7U
   3R36zMD8IEyWJjlZ+aPkIP8/jFJrFl4pVHbU7vX85Iut1vV7m+8BgWt25mJhnoJ9
   KPjXGra9mYP+Cj8zFAcjvtl3NBAPodyfcfCTWsU3umF9ArOFICcrGCzHX2SS7wX5
   h9n0vYRZxk5Qj5FsgskKAQLq33CKFAMlaqZnL5gWRvTeycSIxsyus+stX+8YBPCO
   J64f7+y+MPIP1+m2njlVXg1xLEMMVa08oWccOMiakgzDev3LCrPy+wdwdn7Ut7oA
   pna3DNy9aYNd2lh6vUCJeJ+Yi1Bl2jYpzLcCLKrHUmln9/rRSz7Orbg8P181kfPu
   G/M7CD5FwhxP3p4+0XoGwxQefrV2jqpSnbLae7xbYJiJAhbpjWDQhuNGUbPcDmqk
   aH0Q3XU8AonJ8YqaQ/q3VZ3JBiH3TbBrOXsvd59cwxYyf83aJ/WLCb2P8y75zDad
   lnOP713ThF5J/Afj9HjO9waFV0Z2W2ZZe4rU2OJTAiXEtM8xsFMrc7TCUacJtJGs
   u4kdBmXREcVpSz65h9ImSy2ner9qktnVVCW4mZPj63IhB37YtoLAMyz3a3R2RFNk
   viEX8foOTUg1FmwHoftxZ9P91QwLoTajkDrh26ueIe45sG6Uxua2AP4Vo37cFfCj
   ryV8OokCHAQQAQkABgUCZG5MWAAKCRBC/V96c62IWmglD/9idU43kW8Zy8Af1j8l
   Am3lI4d9ksOleeKRZqxo/SZ5rovF32DO2nw7XRXq1+EbhgJaI3QwwOi0U0pfAMVT
   4b9TdxdH+n+tqzCHh3jZqmo9sw+c9WFXYJN1hU9bLzcHXS8hOTbyoE2EuXx56ds9
   L/BWCcd+LIvapw0lggFfavVx/QF4C7nBKjnJ66+xxwfgVIKR7oGlqDiHMfp9ZWh5
   HhEqZo/nrNhdY0h3sczEdqC2N6eIa8mgHffHZdKudDMXIXHbgdhW9pcZXDIktVf7
   j9wehsWOyYXiRgR0dz7DI26AUG4JLh5FTtx9XuSBdEsI69Jd4dJuibmgtImzbZjn
   7un8DJWIyqi7Ckk96Tr4oXB9mYAXaWlR4C9j5XJhMNZgkOycuY2DADnbGmSb+1kA
   ju77H4ff84+vMDwUzUt2Wwb+GjzXu2g6Wh+bWhGSirYlel+6xYrI6beu1BDCFLq+
   VZFE8WggjJHpwcL7CiqadfVIQaw4HY0jQFTSdwzPWhJvYjXFOhMkyCcjssbtmB+z
   /otfgySyQqThrD48RWS5GuyqCA+pK3UNmEJ11c1AXMdTn2VWInR1NOJNALQ2du3y
   q8t1vMsErVOJ7pkZ50F4ef17PE6DKrXX8ilwGFyVuX5ddyt/t9J5pC3sRwHWXVZx
   GXwoX75FwIEHA3n5Q7rZ69Ea6Q==
   =ZIO7
   -----END PGP PUBLIC KEY BLOCK-----

4. Importe a chave pública do assinante para o seu chaveiro.

   $ gpg --import signer-public-key.txt
   							
   gpg: key FE0ADDFA: public key "AWS SAM CLI Team <[e-mail]>" imported
   gpg: Total number processed: 1
   gpg:               imported: 1  (RSA: 1)
   gpg: no ultimately trusted keys found

   Anote o valor chave da saída. Por exemplo, FE0ADDFA.

5. Use o valor da chave para obter e verificar a impressão digital da chave pública do signatário.

   $ gpg --fingerprint FE0ADDFA
   							
   pub   4096R/FE0ADDFA 2023-05-23 [expires: 2025-05-22]
         Key fingerprint = 37D8 BE16 0355 2DA7 BD6A  04D8 C7A0 5F43 FE0A DDFA
   uid                  AWS SAM CLI Team <[e-mail]>

   A impressão digital deve corresponder ao mostrado a seguir:

   37D8 BE16 0355 2DA7 BD6A  04D8 C7A0 5F43 FE0A DDFA

   Se a string de impressão digital não coincidir, não instale o instalador do AWS SAM CLI. Escale para a equipe AWS SAM ao criar um problema no repositório aws-sam-cli do GitHub.

6. Verifique as assinaturas da chave pública do signatário:

   $ gpg --check-sigs FE0ADDFA
   							
   pub   4096R/FE0ADDFA 2023-05-23 [expires: 2025-05-22]
   uid                  AWS SAM CLI Team <[e-mail]>
   sig!3        FE0ADDFA 2023-05-23  AWS SAM CLI Team <[e-mail]>
   sig!         73AD885A 2023-05-24  AWS SAM CLI Primary <[e-mail]>

   Se você vir 1 signature not checked due to a missing key, repita as etapas anteriores para importar as chaves públicas primária e do signatário para o seu chaveiro.

   Você deve ver os valores da chave pública primária e da chave pública do signatário listados.

Agora que você verificou a integridade da chave pública do signatário, você pode usar a chave pública do signatário para verificar o instalador do pacote AWS SAM CLI.

Para verificar a integridade do instalador do pacote AWS SAM CLI

1. Obtenha o arquivo de assinatura do pacote AWS SAM CLI — Faça o download do arquivo de assinatura para o instalador do pacote AWS SAM CLI usando o seguinte comando:

   $ wget https://github.com/aws/aws-sam-cli/releases/latest/download/aws-sam-cli-linux-arm64.zip.sig

2. Verifique o arquivo de assinatura Passe os nomes dos arquivos .sig e .zip baixados como parâmetros para o comando gpg. Veja um exemplo a seguir:

   $ gpg --verify aws-sam-cli-linux-arm64.zip.sig aws-sam-cli-linux-arm64.zip

   A saída deve ser semelhante à seguinte:

   gpg: Signature made Tue 30 May 2023 10:03:57 AM UTC using RSA key ID FE0ADDFA
   gpg: Good signature from "AWS SAM CLI Team <[e-mail]>"
   gpg: WARNING: This key is not certified with a trusted signature!
   gpg:          There is no indication that the signature belongs to the owner.
   Primary key fingerprint: 37D8 BE16 0355 2DA7 BD6A  04D8 C7A0 5F43 FE0A DDFA

   • A mensagem WARNING: This key is not certified with a trusted signature! pode ser ignorada. Isso ocorre porque não há uma cadeia de confiança entre a chave PGP pessoal (se você tiver uma) e a chave CLI PGP do AWS SAM. Para obter mais informações, consulte Web of trust.

   • Se a saída inclui a frase BAD signature, verifique se você executou o procedimento corretamente. Se você continuar recebendo essa resposta, encaminhe para a equipe do AWS SAM ao criar um problema no repositório aws-sam-cli do GitHub e evite usar o arquivo baixado.

   A mensagem Good signature from "AWS SAM CLI Team <[e-mail]>" significa que a assinatura foi verificada e você pode prosseguir com a instalação.

x86_64 - instalador de linha de comando

AWS SAMusa o GnuPG para assinar o instalador AWS SAM CLI .zip. A verificação é executada nas seguintes etapas:

1. Use a chave pública primária para verificar a chave pública do signatário.

2. Use a chave pública do signatário para verificar o instalador do pacote AWS SAM CLI.

Para verificar a integridade da chave pública do signatário

1. Copie a chave pública primária e salve-a em sua máquina local como um arquivo .txt. Por exemplo, primary-public-key.txt.

   -----BEGIN PGP PUBLIC KEY BLOCK-----
   Version: GnuPG v2.0.22 (GNU/Linux)
   
   mQINBGRuSzMBEADsqiwOy78w7F4+sshaMFRIwRGNRm94p5Qey2KMZBxekFtoryVD
   D9jEOnvupx4tvhfBHz5EcUHCEOdl4MTqdBy6vVAshozgxVb9RE8JpECn5lw7XC69
   4Y7Gy1TKKQMEWtDXElkGxIFdUWvWjSnPlzfnoXwQYGeE93CUS3h5dImP22Yk1Ct6
   eGGhlcbg1X4L8EpFMj7GvcsU8f7ziVI/PyC1Xwy39Q8/I67ip5eU5ddxO/xHqrbL
   YC7+8pJPbRMej2twT2LrcpWWYAbprMtRoa6WfE0/thoo3xhHpIMHdPfAA86ZNGIN
   kRLjGUg7jnPTRW4Oin3pCc8nT4Tfc1QERkHm641gTC/jUvpmQsM6h/FUVP2i5iE/
   JHpJcMuL2Mg6zDo3x+3gTCf+Wqz3rZzxB+wQT3yryZs6efcQy7nROiRxYBxCSXX0
   2cNYzsYLb/bYaW8yqWIHD5IqKhw269gp2E5Khs60zgS3CorMb5/xHgXjUCVgcu8a
   a8ncdf9fjl3WS5p0ohetPbO2ZjWv+MaqrZOmUIgKbA4RpWZ/fU97P5BW9ylwmIDB
   sWy0cMxg8MlvSdLytPieogaM0qMg3u5qXRGBr6Wmevkty0qgnmpGGc5zPiUbtOE8
   CnFFqyxBpj5IOnG0KZGVihvn+iRxrv6GO7WWO92+Dc6m94U0EEiBR7QiOwARAQAB
   tDRBV1MgU0FNIENMSSBQcmltYXJ5IDxhd3Mtc2FtLWNsaS1wcmltYXJ5QGFtYXpv
   bi5jb20+iQI/BBMBCQApBQJkbkszAhsvBQkHhM4ABwsJCAcDAgEGFQgCCQoLBBYC
   AwECHgECF4AACgkQQv1fenOtiFqTuhAAzi5+ju5UVOWqHKevOJSO08T4QB8HcqAE
   SVO3mY6/j29knkcL8ubZP/DbpV7QpHPI2PB5qSXsiDTP3IYPbeY78zHSDjljaIK3
   njJLMScFeGPyfPpwMsuY4nzrRIgAtXShPA8N/k4ZJcafnpNqKj7QnPxiC1KaIQWm
   pOtvb8msUF3/s0UTa5Ys/lNRhVC0eGg32ogXGdojZA2kHZWdm9udLo4CDrDcrQT7
   NtDcJASapXSQL63XfAS3snEc4e1941YxcjfYZ33rel8K9juyDZfi1slWR/L3AviI
   QFIaqSHzyOtP1oinUkoVwL8ThevKD3Ag9CZflZLzNCV7yqlF8RlhEZ4zcE/3s9El
   WzCFsozb5HfE1AZonmrDh3SyOEIBMcS6vG5dWnvJrAuSYv2rX38++K5Pr/MIAfOX
   DOI1rtA+XDsHNv9lSwSy0lt+iClawZANO9IXCiN1rOYcVQlwzDFwCNWDgkwdOqS0
   gOA2f8NF9lE5nBbeEuYquoOl1Vy8+ICbgOFs9LoWZlnVh7/RyY6ssowiU9vGUnHI
   L8f9jqRspIz/Fm3JD86ntZxLVGkeZUz62FqErdohYfkFIVcv7GONTEyrz5HLlnpv
   FJ0MR0HjrMrZrnOVZnwBKhpbLocTsH+3t5It4ReYEX0f1DIOL/KRwPvjMvBVkXY5
   hblRVDQoOWc=
   =d9oG
   -----END PGP PUBLIC KEY BLOCK-----

2. Importe a chave pública primária para o seu chaveiro.

   $ gpg --import primary-public-key.txt
   							
   gpg: directory `/home/.../.gnupg' created
   gpg: new configuration file `/home/.../.gnupg/gpg.conf' created
   gpg: WARNING: options in `/home/.../.gnupg/gpg.conf' are not yet active during this run
   gpg: keyring `/home/.../.gnupg/secring.gpg' created
   gpg: keyring `/home/.../.gnupg/pubring.gpg' created
   gpg: /home/.../.gnupg/trustdb.gpg: trustdb created
   gpg: key 73AD885A: public key "AWS SAM CLI Primary <[e-mail]>" imported
   gpg: Total number processed: 1
   gpg:               imported: 1  (RSA: 1)

3. Copie a chave pública do signatário e salve-a em sua máquina local como um arquivo .txt. Por exemplo, signer-public-key.txt.

   -----BEGIN PGP PUBLIC KEY BLOCK-----
   Version: GnuPG v2.0.22 (GNU/Linux)
   
   mQINBGRtS20BEAC7GjaAwverrB1zNEu2q3EGI6HC37WzwL5dy30f4LirZOWS3piK
   oKfTqPjXPrLCf1GL2mMqUSgSnpEbPNXuvWTW1CfSnnjwuH8ZqbvvUQyHJwQyYpKm
   KMwb+8V0bzzQkMzDVqolYQCi5XyGpAuo3wroxXSzG6r/mIhbiq3aRnL+2lo4XOYk
   r7q9bhBqbJhzjkm7N62PhPWmi/+/EGdEBakA1pReE+cKjP2UAp5L6CPShQl2fRKL
   9BumitNfFHHs1JZgZSCCruiWny3XkUaXUEMfyoE9nNbfqNvuqV2KjWguZCXASgz2
   ZSPF4DTVIBMfP+xrZGQSWdGU/67QdysDQW81TbFOjK9ZsRwwGC4kbg/K98IsCNHT
   ril5RZbyr8pw3fw7jYjjI2ElAacRWp53iRzvutm5AruPpLfoKDQ/tKzBUYItBwlu
   Z/diKgcqtw7xDlyqNyTN8xFPFqMO2I8IsZ2Pdl131htdFiZMiin1RQG9pV9p2vHS
   eQVY2uKCnvnA6vFCQYKXP7p0IwReuPNzDvECUsidw8VTakTqZsANT/bU17e4KuKn
   +JgbNrKOasJX37sDb/9ruysozLvy78ozYKJDLmC3yoRQ8DhEjviT4cnjORgNmvnZ
   0a5AA/DJPQW4buRrXdxu+fITzBxQn2+GO/iDNCxtJaq5SYVBKjTmTWPUJwARAQAB
   tDBBV1MgU0FNIENMSSBUZWFtIDxhd3Mtc2FtLWNsaS1zaWduZXJAYW1hem9uLmNv
   bT6JAj8EEwEJACkFAmRtS20CGy8FCQPCZwAHCwkIBwMCAQYVCAIJCgsEFgIDAQIe
   AQIXgAAKCRDHoF9D/grd+lE4D/4kJW65He2LNsbLTta7lcGfsEXCf4zgIvkytS7U
   3R36zMD8IEyWJjlZ+aPkIP8/jFJrFl4pVHbU7vX85Iut1vV7m+8BgWt25mJhnoJ9
   KPjXGra9mYP+Cj8zFAcjvtl3NBAPodyfcfCTWsU3umF9ArOFICcrGCzHX2SS7wX5
   h9n0vYRZxk5Qj5FsgskKAQLq33CKFAMlaqZnL5gWRvTeycSIxsyus+stX+8YBPCO
   J64f7+y+MPIP1+m2njlVXg1xLEMMVa08oWccOMiakgzDev3LCrPy+wdwdn7Ut7oA
   pna3DNy9aYNd2lh6vUCJeJ+Yi1Bl2jYpzLcCLKrHUmln9/rRSz7Orbg8P181kfPu
   G/M7CD5FwhxP3p4+0XoGwxQefrV2jqpSnbLae7xbYJiJAhbpjWDQhuNGUbPcDmqk
   aH0Q3XU8AonJ8YqaQ/q3VZ3JBiH3TbBrOXsvd59cwxYyf83aJ/WLCb2P8y75zDad
   lnOP713ThF5J/Afj9HjO9waFV0Z2W2ZZe4rU2OJTAiXEtM8xsFMrc7TCUacJtJGs
   u4kdBmXREcVpSz65h9ImSy2ner9qktnVVCW4mZPj63IhB37YtoLAMyz3a3R2RFNk
   viEX8foOTUg1FmwHoftxZ9P91QwLoTajkDrh26ueIe45sG6Uxua2AP4Vo37cFfCj
   ryV8OokCHAQQAQkABgUCZG5MWAAKCRBC/V96c62IWmglD/9idU43kW8Zy8Af1j8l
   Am3lI4d9ksOleeKRZqxo/SZ5rovF32DO2nw7XRXq1+EbhgJaI3QwwOi0U0pfAMVT
   4b9TdxdH+n+tqzCHh3jZqmo9sw+c9WFXYJN1hU9bLzcHXS8hOTbyoE2EuXx56ds9
   L/BWCcd+LIvapw0lggFfavVx/QF4C7nBKjnJ66+xxwfgVIKR7oGlqDiHMfp9ZWh5
   HhEqZo/nrNhdY0h3sczEdqC2N6eIa8mgHffHZdKudDMXIXHbgdhW9pcZXDIktVf7
   j9wehsWOyYXiRgR0dz7DI26AUG4JLh5FTtx9XuSBdEsI69Jd4dJuibmgtImzbZjn
   7un8DJWIyqi7Ckk96Tr4oXB9mYAXaWlR4C9j5XJhMNZgkOycuY2DADnbGmSb+1kA
   ju77H4ff84+vMDwUzUt2Wwb+GjzXu2g6Wh+bWhGSirYlel+6xYrI6beu1BDCFLq+
   VZFE8WggjJHpwcL7CiqadfVIQaw4HY0jQFTSdwzPWhJvYjXFOhMkyCcjssbtmB+z
   /otfgySyQqThrD48RWS5GuyqCA+pK3UNmEJ11c1AXMdTn2VWInR1NOJNALQ2du3y
   q8t1vMsErVOJ7pkZ50F4ef17PE6DKrXX8ilwGFyVuX5ddyt/t9J5pC3sRwHWXVZx
   GXwoX75FwIEHA3n5Q7rZ69Ea6Q==
   =ZIO7
   -----END PGP PUBLIC KEY BLOCK-----

4. Importe a chave pública do assinante para o seu chaveiro.

   $ gpg --import signer-public-key.txt
   							
   gpg: key FE0ADDFA: public key "AWS SAM CLI Team <[e-mail]>" imported
   gpg: Total number processed: 1
   gpg:               imported: 1  (RSA: 1)
   gpg: no ultimately trusted keys found

   Anote o valor chave da saída. Por exemplo, FE0ADDFA.

5. Use o valor da chave para obter e verificar a impressão digital da chave pública do signatário.

   $ gpg --fingerprint FE0ADDFA
   							
   pub   4096R/FE0ADDFA 2023-05-23 [expires: 2025-05-22]
         Key fingerprint = 37D8 BE16 0355 2DA7 BD6A  04D8 C7A0 5F43 FE0A DDFA
   uid                  AWS SAM CLI Team <[e-mail]>

   A impressão digital deve corresponder ao mostrado a seguir:

   37D8 BE16 0355 2DA7 BD6A  04D8 C7A0 5F43 FE0A DDFA

   Se a string de impressão digital não coincidir, não instale o instalador do AWS SAM CLI. Escale para a equipe AWS SAM ao criar um problema no repositório aws-sam-cli do GitHub.

6. Verifique as assinaturas da chave pública do signatário:

   $ gpg --check-sigs FE0ADDFA
   							
   pub   4096R/FE0ADDFA 2023-05-23 [expires: 2025-05-22]
   uid                  AWS SAM CLI Team <[e-mail]>
   sig!3        FE0ADDFA 2023-05-23  AWS SAM CLI Team <[e-mail]>
   sig!         73AD885A 2023-05-24  AWS SAM CLI Primary <[e-mail]>

   Se você vir 1 signature not checked due to a missing key, repita as etapas anteriores para importar as chaves públicas primária e do signatário para o seu chaveiro.

   Você deve ver os valores da chave pública primária e da chave pública do signatário listados.

Agora que você verificou a integridade da chave pública do signatário, você pode usar a chave pública do signatário para verificar o instalador do pacote AWS SAM CLI.

Para verificar a integridade do instalador do pacote AWS SAM CLI

1. Obtenha o arquivo de assinatura do pacote AWS SAM CLI — Faça o download do arquivo de assinatura para o instalador do pacote AWS SAM CLI usando o seguinte comando:

   $ wget https://github.com/aws/aws-sam-cli/releases/latest/download/aws-sam-cli-linux-x86_64.zip.sig

2. Verifique o arquivo de assinatura Passe os nomes dos arquivos .sig e .zip baixados como parâmetros para o comando gpg. Veja um exemplo a seguir:

   $ gpg --verify aws-sam-cli-linux-x86_64.zip.sig aws-sam-cli-linux-x86_64.zip

   A saída deve ser semelhante à seguinte:

   gpg: Signature made Tue 30 May 2023 10:03:57 AM UTC using RSA key ID FE0ADDFA
   gpg: Good signature from "AWS SAM CLI Team <[e-mail]>"
   gpg: WARNING: This key is not certified with a trusted signature!
   gpg:          There is no indication that the signature belongs to the owner.
   Primary key fingerprint: 37D8 BE16 0355 2DA7 BD6A  04D8 C7A0 5F43 FE0A DDFA

   • A mensagem WARNING: This key is not certified with a trusted signature! pode ser ignorada. Isso ocorre porque não há uma cadeia de confiança entre a chave PGP pessoal (se você tiver uma) e a chave CLI PGP do AWS SAM. Para obter mais informações, consulte Web of trust.

   • Se a saída inclui a frase BAD signature, verifique se você executou o procedimento corretamente. Se você continuar recebendo essa resposta, encaminhe para a equipe do AWS SAM ao criar um problema no repositório aws-sam-cli do GitHub e evite usar o arquivo baixado.

   A mensagem Good signature from "AWS SAM CLI Team <[e-mail]>" significa que a assinatura foi verificada e você pode prosseguir com a instalação.

macOS

Instalador de GUI e linha de comando

Você pode verificar a integridade do arquivo de assinatura do instalador do pacote AWS SAM CLI usando a ferramenta pkgutil ou manualmente.

Para verificar usando pkgutil

1. Execute o comando a seguir, fornecendo o caminho para o instalador baixado na sua máquina local:

   $ pkgutil --check-signature /path/to/aws-sam-cli-installer.pkg

   Veja um exemplo a seguir:

   $ pkgutil --check-signature /Users/user/Downloads/aws-sam-cli-macos-arm64.pkg

2. Na saída, localize o SHA256 fingerprint para Developer ID Installer: AMZN Mobile LLC. Veja um exemplo a seguir:

   Package "aws-sam-cli-macos-arm64.pkg":
      Status: signed by a developer certificate issued by Apple for distribution
      Notarization: trusted by the Apple notary service
      Signed with a trusted timestamp on: 2023-05-16 20:29:29 +0000
      Certificate Chain:
       1. Developer ID Installer: AMZN Mobile LLC (94KV3E626L)
          Expires: 2027-06-28 22:57:06 +0000
          SHA256 Fingerprint:
              49 68 39 4A BA 83 3B F0 CC 5E 98 3B E7 C1 72 AC 85 97 65 18 B9 4C
              BA 34 62 BF E9 23 76 98 C5 DA
          ------------------------------------------------------------------------
       2. Developer ID Certification Authority
          Expires: 2031-09-17 00:00:00 +0000
          SHA256 Fingerprint:
              F1 6C D3 C5 4C 7F 83 CE A4 BF 1A 3E 6A 08 19 C8 AA A8 E4 A1 52 8F
              D1 44 71 5F 35 06 43 D2 DF 3A
          ------------------------------------------------------------------------
       3. Apple Root CA
          Expires: 2035-02-09 21:40:36 +0000
          SHA256 Fingerprint:
              B0 B1 73 0E CB C7 FF 45 05 14 2C 49 F1 29 5E 6E DA 6B CA ED 7E 2C
              68 C5 BE 91 B5 A1 10 01 F0 24

3. O Developer ID Installer: AMZN Mobile LLC SHA256 fingerprint deve corresponder ao seguinte valor:

   49 68 39 4A BA 83 3B F0 CC 5E 98 3B E7 C1 72 AC 85 97 65 18 B9 4C BA 34 62 BF E9 23 76 98 C5 DA

   Se a string de impressão digital não coincidir, não instale o instalador do AWS SAM CLI. Escale para a equipe AWS SAM ao criar um problema no repositório aws-sam-cli do GitHub. Se a sequência de caracteres da impressão digital corresponder, você poderá continuar usando o instalador de pacotes.

Para verificar o instalador do pacote manualmente

• Consulte Como verificar a autenticidade das atualizações de software da Apple baixadas manualmente no site de suporte da Apple.

Windows

O instalador AWS SAM CLI é empacotado como MSI arquivos para o sistema operacional Windows.

Para verificar o instalador da integridade do

1. Clique com o botão direito do mouse no instalador e abra a janela Propriedades.

2. Escolha a guia Assinaturas digitais.

3. Em Lista de assinaturas, escolha Amazon Web Services, Inc. e, em seguida, escolha Detalhes.

4. Escolha a guia Geral, se ainda não estiver selecionada, e escolha Visualizar certificado.

5. Selecione a guia Detalhes e Todos na lista suspensa Exibir, se ela ainda não estiver selecionada.

6. Role para baixo até ver o campo Impressão digital e, em seguida, escolha Impressão digital. Isso exibe todo o valor da impressão digital na janela inferior.

7. Combine o valor da impressão digital com o valor a seguir. Se o valor corresponder, prossiga com a instalação. Caso contrário, encaminhe para a AWS SAM equipe ao criar um problema no repositório aws-sam-cli do GitHub.

   d52eb68bffe6ae165b3b05c3e1f9cc66da7eeac0

Verifique o valor do hash

Linux

x86_64 - instalador de linha de comando

Verifique a integridade e a autenticidade dos arquivos do instalador baixados gerando um valor de hash usando o seguinte comando:

$ sha256sum aws-sam-cli-linux-x86_64.zip

A saída deve ser como o exemplo a seguir:

<64-character SHA256 hash value> aws-sam-cli-linux-x86_64.zip

Compare o valor de hash SHA-256 de 64 caracteres com o valor da versão AWS SAM CLI desejada nas AWS SAM CLI notas de lançamento em GitHub.

macOS

Instalador de GUI e linha de comando

Verifique a integridade e a autenticidade do instalador baixado gerando um valor de hash usando o seguinte comando:

$ shasum -a 256 path-to-pkg-installer/name-of-pkg-installer

# Examples
$ shasum -a 256 ~/Downloads/aws-sam-cli-macos-arm64.pkg
$ shasum -a 256 ~/Downloads/aws-sam-cli-macos-x86_64.pkg

Compare seu valor de hash SHA-256 de 64 caracteres com o valor correspondente no repositório do GitHub de notas de versão do AWS SAM CLI.