概要

インストール
- mql
- cnspec
ターゲットプラットフォームのスキャン
パッケージ情報
Kubernetes

ステータス

Docker コンテナ:
Homebrew:
Install.sh:
Install.ps1:
macOS Pkg:
Arch Linux:

インストール

mql および cnspec をインストールする最も簡単な方法は、インストールスクリプトを使用することです。

シェルスクリプト経由 (Linux および macOS)

https://install.mondoo.com/sh

bash -c "$(curl -sSL https://install.mondoo.com/sh)"

PowerShell 経由 (Windows)

https://install.mondoo.com/ps1

Set-ExecutionPolicy Unrestricted -Scope Process -Force;
[System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072;
iex ((New-Object System.Net.WebClient).DownloadString('https://install.mondoo.com/ps1'));
Install-Mondoo;

ターゲットプラットフォームのスキャン

ターゲットプラットフォームをスキャン:

# インシデントおよびインベントリクエストパックでシステム情報をクエリ
mql scan aws
# セキュリティ脆弱性についてプラットフォームをスキャン
cnspec scan aws

Mondoo アカウントにサインアップすると、さらに多くのポリシーにアクセスし、レポートを保存できます。詳細については、お問い合わせください。

cnspec login -t 'eyJh...llZ4BW'

mql と cnspec は、サーバー (Linux、Windows、macOS)、クラウド (AWS、Azure、Google、VMware)、Kubernetes (EKS、GKE、AKS、セルフマネージド)、コンテナ、コンテナレジストリ、SaaS製品 (Google Workspace、M365、GitHub、GitLab) などを含むローカルおよびリモートターゲットをサポートしています。

スキャンを実行:

# ローカルホストをスキャン
cnspec scan local

# クラウド環境をスキャン
cnspec scan aws
cnspec scan gcp
cnspec scan azure

# Kubernetes クラスタをスキャン
cnspec scan k8s

# リモートレジストリから Docker イメージをスキャン
cnspec scan docker image debian:12

# Docker コンテナをスキャン (id は docker ps から取得)
cnspec scan docker container 00fa961d6b6a

# SSH 経由でシステムをスキャン
cnspec scan ssh [email protected]

パッケージ情報

https://install.mondoo.com/package/cnspec/{platform}/{arch}/{filetype}/{version}/{method}

引数は以下の値をサポートしています:

引数	値
`platform`	`linux`, `windows`, `darwin`
`arch`	`amd64`, `arm64`, `armv7`, `armv6`, `386`, `ppc64le`
`filetype`	`tar.gz`, `deb`, `rpm`, `zip`, `pkg`, `msi`
`version`	`latest` または特定の番号
`method`	`download`, `filename`, `version`, `sha256`

# 最新バージョンをダウンロード
https://install.mondoo.com/package/cnspec/linux/arm64/rpm/latest/download

# 最新の cnspec パッケージのファイル名を取得
https://install.mondoo.com/package/cnspec/linux/arm64/rpm/latest/filename

# 最新の cnspec パッケージのバージョンを取得
https://install.mondoo.com/package/cnspec/linux/arm64/rpm/latest/version

# 最新の cnspec クライアントの sha256 を取得
https://install.mondoo.com/package/cnspec/linux/arm64/rpm/latest/sha256

# 特定のバージョンの cnspec クライアントをダウンロード
https://install.mondoo.com/package/cnspec/linux/arm64/rpm/5.21.1/download

# 特定のバージョンの cnspec クライアントの sha256 を取得
https://install.mondoo.com/package/cnspec/linux/arm64/rpm/5.21.1/sha256

Kubernetes

オペレーターをインストールするための Kubernetes マニフェスト

https://install.mondoo.com/k8s/operator

kubectl apply -f https://install.mondoo.com/k8s/operator

MondooAuditConfig を設定するための Kubernetes マニフェスト

https://install.mondoo.com/k8s/auditconfig?nodes=true&kubernetesResources=true

kubectl apply -f https://install.mondoo.com/k8s/auditconfig?nodes=true&kubernetesResources=true

すべてのリリースを参照するには、https://releases.mondoo.com にアクセスしてください

参考文献

インストールスクリプトのソース

install.sh - mql & cnspec Bashインストーラー
download.sh - mql & cnspec Bashバイナリダウンローダー
install.ps1 - mql & cnspec PowerShellインストーラー
download.ps1 - mql & cnspec PowerShellバイナリダウンローダー

設定管理

Docker コンテナ

リリース

テスト

install.sh

install.sh スクリプトは POSIX sh 互換です。すべてのテストはリポジトリルートから make で実行されます。

クイック lint (Docker不要):

# POSIX 準拠: shellcheck -s sh, dash -n, shebang チェック
make test/posix

# 一般的な shellcheck (すべてのシェルスクリプト)
make test/shellcheck

Dockerベースの統合テスト:

ローカルの install.sh をコンテナにマウントし、ディストリビューションの /bin/sh で実行します:

# Debian/Ubuntu ディストリビューションでテスト (apt)
make test/install_sh/apt

# RHEL/CentOS/Fedora ディストリビューションでテスト (yum)
make test/install_sh/yum

# SUSE でテスト (zypper)
make test/install_sh/zypper

# 既存のマルチステージ Dockerfile 経由でテスト (すべてのディストリビューション)
make test/install_sh

# すべてを実行: lint + すべての Docker テスト
make test/install_sh/all

アップグレードテスト (cnquery -> mql 移行):

make test/install_sh/upgrade-apt
make test/install_sh/upgrade-yum

download.sh

make test/download_sh

PowerShell

make test/powershell

コード署名の検証

Mondoo は Microsoft Windows 実行可能ファイル、PowerShell スクリプト、Linux パッケージに署名し、Apple macOS 実行可能ファイルにコード署名します。公開コード署名証明書と公開 GPG キーは Installer Repo に保存されています。

コード署名用公開証明書 public-code-signing.cer
パッケージ署名用公開 GPG キー public-package-signing.gpg

Microsoft

注: Get-AuthenticodeSignature コマンドレットは現在 PowerShell Core では利用できないため、実行するには Windows インストールが必要です。

11.66.1 リリース以降、Azure Trusted Signing を採用しました。これにより、おおよそ72時間ごとにローテーションされる短期間のコード署名証明書が提供されます。つまり、証明書の拇印はリリースごとに異なり、信頼性の高い検証方法として使用できません。

mql または cnspec 実行可能ファイルの整合性を検証するには、Microsoft の Get-AuthenticodeSignature PowerShell コマンドを使用し、署名ステータス が Valid であることを確認してください。さらに、署名者 (Subject) は CN=Mondoo, Inc.、発行者 (Issuer) は CN=Microsoft ID Verified CS EOC CA 01, O=Microsoft Corporation, C=US です。

$file = ".\mondoo_11.66.1_windows_amd64.msi"
(Get-AuthenticodeSignature -FilePath $file).SignerCertificate | Format-List

Subject      : CN="Mondoo, Inc.", O="Mondoo, Inc.", L=Cary, S=North Carolina, C=US
Issuer       : CN=Microsoft ID Verified CS EOC CA 01, O=Microsoft Corporation, C=US
Thumbprint   : 6134EB03311452EFFFA36EFC767F4BEBE29A4107
FriendlyName :
NotBefore    : 05/08/2025 14:08:51
NotAfter     : 08/08/2025 14:08:51
Extensions   : {System.Security.Cryptography.Oid, System.Security.Cryptography.Oid,
               System.Security.Cryptography.Oid, System.Security.Cryptography.Oid...}

Mondoo PowerShell install.ps1 スクリプトの整合性を検証するには、Microsoft の Get-AuthenticodeSignature PowerShell を使用し、署名ステータス が Valid であることを確認してください。

Get-AuthenticodeSignature .\install.ps1

SignerCertificate                         Status
-----------------                         ------
6134EB03311452EFFFA36EFC767F4BEBE29A4107  Valid

以前の署名者

11.66.1 より前のバージョンでは、Microsoft リリースの署名に DigiCert を使用していました。これらは CN=DigiCert Global G3 Code Signing ECC SHA384 2021 CA1, O="DigiCert, Inc.", C=US によって発行された証明書で署名され、静的拇印は EE97D1E3C6CD96E06C47B0233DD7C6CE2684FA50 でした。

Apple macOS

mql または cnspec 実行可能ファイルの整合性を検証するには、Apple の codesign ユーティリティを使用し、TeamIdentifier フィールドが以下のものと一致することを確認してください。

codesign --verify -d --verbose=2 /usr/local/bin/cnspec
Executable=/Library/Mondoo/bin/cnspec
Identifier=cnspec
Format=Mach-O universal (x86_64 arm64)
CodeDirectory v=20500 size=2124850 flags=0x10000(runtime) hashes=66396+2 location=embedded
Signature size=9054
Authority=Developer ID Application: Mondoo, Inc. (W2KUBWKG84)
Authority=Developer ID Certification Authority
Authority=Apple Root CA
Timestamp=25. Apr 2023 at 19:47:53
Info.plist=not bound
TeamIdentifier=W2KUBWKG84
Runtime Version=11.0.0
Sealed Resources=none
Internal requirements count=1 size=168

現在および以前の PGP 公開鍵

現在の鍵

Mondoo の現在の PGP 公開鍵は ID 00E1C42B / フィンガープリント 4CE909E26AE7439C39CE7647AC69C65100E1C42B であり、以下の通りです:

以前の鍵

鍵ID 00E1C42B / フィンガープリント 4CE909E26AE7439C39CE7647AC69C65100E1C42B:

Mondoo の公開 PGP 鍵は以下からダウンロードできます (両方とも同一):

installer v13.32.1

カテゴリ