パッケージをダウンロードしてrpmコマンドでインストールする場合、自動でGPG署名のチェックが行われるが、パッケージリリース元のGPG公開鍵がサーバに取り込まれていない場合以下のような警告が出る。
Command
rpm -ivh httpd-2.4.6-40.el7.centos.src.rpm
warning: httpd-2.4.6-40.el7.centos.src.rpm: Header V3 RSA/SHA256 Signature, key ID f4a80eb5: NOKEY
....
RPMコマンドのオプション
-i: RPMパッケージのインストール
-h: 処理の進行状況を"#"で表示する
-v: 操作対象のパッケージ名を表示する
正しく署名の確認を行うにはGPG公開鍵のインポートを行わなくてはならない。
また、信頼できる配布元のパッケージを使用するため、署名の確認が取れたパッケージを使用するべきである。
以下はCentOS ProjectのGPG公開鍵をインストールする手順。
OSインストール時点でGPG公開鍵は配置されているのでインポートしてあげればOK。
Command
rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7
これで正しいrpmであれば警告がでなくなる。
インポート済みのGPG公開鍵の情報を確認するには以下のコマンドを実行する。
Command
rpm -qai gpg-pubkey*
RPMコマンドのオプション
-q: RPMパッケージ情報を表示
-a: インストールされている全てのパッケージを選択
-i（-q指定時の検索オプション）: 検索したパッケージの名前、バージョン、リリース日、インストール日などの詳細情報を表示