基于OpenSSL3.1.0构建的PyInstaller程序FIPS环境报错求助

1. 匹配目标环境的OpenSSL版本构建 #

目标RHEL8.7搭载的是OpenSSL 1.1.1k FIPS，你在CentOS7中用OpenSSL 3.1.0构建的包，会将构建环境的OpenSSL库打包进去，和RHEL8.7的FIPS模块不兼容，导致自检失败。

• 操作步骤：
  1. 在CentOS7 Docker镜像中编译安装OpenSSL 1.1.1k，编译时启用FIPS模块（需搭配对应版本的FIPS认证模块，如OpenSSL 1.1.1k适配FIPS 2.0.19）。
  2. 基于该OpenSSL环境编译安装Python3.9，确保Python的SSL模块链接到这个FIPS-compliant的库。
  3. 安装PyInstaller后打包应用，此时打包的可执行文件会携带与目标系统兼容的OpenSSL库，能通过FIPS自检。

2. 切换到RHEL8.7 Docker镜像构建 #

既然直接在RHEL8.7机器上构建的应用能正常运行，直接用同版本的Docker镜像作为构建环境是最省心的方案：

• 操作步骤：
  1. 拉取RHEL8.7官方Docker镜像，启用FIPS模式。
  2. 在镜像内安装Python3.9、PyInstaller及应用依赖。
  3. 打包应用，此时生成的可执行文件使用的OpenSSL库与目标系统完全一致，天然兼容FIPS环境。

3. 让PyInstaller不打包本地OpenSSL库 #

若必须在CentOS7环境构建，可尝试让应用运行时调用目标系统的OpenSSL库：

• 操作步骤：
  1. 打包时添加参数--exclude-module ssl，或在.spec文件中配置excludes=['ssl']，避免将CentOS7的OpenSSL库打包进去。
  2. 确保目标RHEL8.7系统的OpenSSL库路径可被可执行文件加载（可通过设置LD_LIBRARY_PATH调整）。
• 注意：此方式依赖目标系统环境，需提前验证RHEL8.7的OpenSSL 1.1.1k与Python3.9的SSL模块兼容，且FIPS模式下加密算法调用正常。

4. 修正OpenSSL 3.1.0的FIPS配置 #

若坚持使用OpenSSL 3.1.0构建，需确保FIPS模块配置正确：

• 操作步骤：
  1. 编译OpenSSL 3.1.0时，启用FIPS模块（执行./configure enable-fips），且使用经过NIST认证的FIPS 3.0模块。
  2. 编译Python3.9时，指定链接到该OpenSSL 3.1.0库，确保Python SSL模块使用FIPS合规算法。
  3. 打包后，运行时设置OPENSSL_CONF环境变量指向正确的FIPS配置文件，确保OpenSSL进入FIPS模式时自检通过。
• 注意：OpenSSL 3.x的FIPS模式配置逻辑与1.1.1差异较大，需严格遵循官方文档配置，否则极易触发自检断言失败。

内容的提问来源于stack exchange，提问作者user1919581