问题：

Question

找到解决方案

为什么问题来了：Docker build（用于创建映像）在一台机器上运行（另一台机器，其中 cmake 在 docker 容器内工作）...即未安装 FIPS。在构建步骤中，Docker file 正在运行 zypper install cmake（或yum install cmake）。

由于在构建 docker 镜像的机器上禁用了 FIPS，构建安装在 docker 镜像中，但不了解是否启用了 FIPS / 是否安装了 dracut-fips。

然后，当您复制此图像并在实际启用了 FIPS 的机器上使用它时，cmake 会失败并显示以下错误消息：crypto/fips/fips.c:153: OpenSSL internal error: FATAL FIPS SELFTEST FAILURE

实际上有两个解决方案。

--

解决方案 #1：适当地标记你的docker镜像。

概括：

附言： 如果您确实使用上述方法安装 cmake，那么它将仅在运行容器的目标机器上工作，如果该机器的 FIPS 在构建时被禁用或启用。即，如果启用了 FIPS，则安装 cmake 并在与构建图像的主机的 FIPS 设置不同的机器上运行它，那么您将阅读这篇文章寻求帮助。

如果您想使用上述包管理器安装 cmake，更好的方法是在创建镜像时适当地标记您的 docker 镜像，即：

docker build -t <image-name>-fips-enabled ...如果启用了 FIPS

和

docker build -t <image-name>-fips-disabled ...如果该机器上的 FIPS 被禁用。

这样，你就可以选择正确的docker镜像映像名称-fips-enabled对比图像名称-fips-已禁用根据您的目标机器的 FIPS 设置（您将实际docker run ...使用此图像执行的操作）。

--

解决方案 #2：如果您有 RedHat 容器，请不要使用 zypper（OpenSuse）或 yum。并且该解决方案非常灵活从某种意义上来说独立于 FIPS 设置 = 0 / 1在构建图像的主机上。

我没有使用zypper/yum来安装cmake里面Dockerfile，只是抓取cmake-3.18.2-Linux-x86_64.tar.gz捆绑文件。

在 Dockerfile 中，我只是将此 .tar.gz 文件提取到某个目录中。我还在export PATH:/path/where/I/installed/cmake-3.18.2../bin:/..some_other_paths:/...:/....Dockerfile 中的 RUN 语句中进行了设置。

即 RUN export PATH=/path/where/I/installed/cmake-3.18.2../bin:/...... && <more cmds here> && <some other cmds here> && ... etc，它可以找到任何构建时（cmake 操作）提取的 cmake 3.18.2，并设置相同的路径=/…变量，因此ENV PATH=/.... same value used during RUN for PATH在运行时，当容器运行时，$PATH 全部设置为查找cmake（3.18.2 版本）而不是使用任何现有的/usr/bin/cmake or some other shit）。

Dockerfile 快照：

#    curl -k -sSf -H "X-JFrog-Art-Api:dslfhjlieurqwihlj233lk2l4j6p9usdkajdfasddl809842iijhlkhflhafOHIHFLyeaGoodLuck" \
#    -o /tmp/cmake.tar.gz https://artifactory.company.com/artifactory/some-Local/cmake/cmake-3.18.2-Linux-x86_64.tar.gz && \

和

作为我的umask设置已设为022，解压后我不需要执行任何chicken chmod操作：

#    echo -e "\n-- Installing CMake ...\n" && \
#    tar -xvzpf /tmp/cmake.tar.gz -C /home/docker_nonroot_user/tools/ && \

在 docker 容器内部，正如ENV PATH=/...在 Dockerfile 中为此目标路径设置的那样，cmake在 docker 容器运行时操作中使用了正确的 3.18.2。

构建我安装的位置是：

/home/docker_nonroot_user/tools/cmake-3.18.2-Linux-x86_64/bin/cmake

Docker 容器内的 PATH 为：

/home/docker_nonroot_user/tools/cov-analysis/bin:/home/docker_nonroot_user/tools/cmake-3.18.2-Linux-x86_64/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

结果：

使用以下方式构建的 Docker 镜像解决方案 #2以上，即在一台机器上构建的docker镜像其中 FIPS = 0 又称为已禁用和然后使用同一图像创建容器在完全不同的目标主机上其中 FIPS = 1 又称已启用，我懂了：

87d8104d8c41:/home/docker_nonroot_user # sysctl -a|grep fips_en
crypto.fips_enabled = 1
87d8104d8c41:/home/docker_nonroot_user #
87d8104d8c41:/home/docker_nonroot_user # which cmake
/usr/bin/cmake
87d8104d8c41:/home/docker_nonroot_user #
87d8104d8c41:/home/docker_nonroot_user # cmake --version
crypto/fips/fips.c:153: OpenSSL internal error: FATAL FIPS SELFTEST FAILURE
Aborted (core dumped)
87d8104d8c41:/home/docker_nonroot_user #

87d8104d8c41:/home/docker_nonroot_user #
87d8104d8c41:/home/docker_nonroot_user # ls -l /home/docker_nonroot_user/tools/cmake-3.18.2-Linux-x86_64/bin
total 75504
-rwxr-xr-x 1 root root 11908568 Aug 20  2020 ccmake
-rwxr-xr-x 1 root root 12096216 Aug 20  2020 cmake
-rwxr-xr-x 1 root root 27476480 Aug 20  2020 cmake-gui
-rwxr-xr-x 1 root root 12398808 Aug 20  2020 cpack
-rwxr-xr-x 1 root root 13318712 Aug 20  2020 ctest
87d8104d8c41:/home/docker_nonroot_user #
87d8104d8c41:/home/docker_nonroot_user # ls -l /home/docker_nonroot_user/tools/cmake-3.18.2-Linux-x86_64/bin/cmake
-rwxr-xr-x 1 root root 12096216 Aug 20  2020 /home/docker_nonroot_user/tools/cmake-3.18.2-Linux-x86_64/bin/cmake
87d8104d8c41:/home/docker_nonroot_user #
87d8104d8c41:/home/docker_nonroot_user # /home/docker_nonroot_user/tools/cmake-3.18.2-Linux-x86_64/bin/cmake --version
cmake version 3.18.2

CMake suite maintained and supported by Kitware (kitware.com/cmake).
87d8104d8c41:/home/docker_nonroot_user # : Merry X-mas Baaaaeeebyyy! - no more FIPS shit error now. Next I'll fix some chown on ~<user> and close my story.

解决方案 #3：您可以禁用 FIPS但前提是你被允许这样做，那么您就不需要解决方案 #1 或解决方案 #2。

Answer 1

找到解决方案

为什么问题来了：Docker build（用于创建映像）在一台机器上运行（另一台机器，其中 cmake 在 docker 容器内工作）...即未安装 FIPS。在构建步骤中，Docker file 正在运行 zypper install cmake（或yum install cmake）。

由于在构建 docker 镜像的机器上禁用了 FIPS，构建安装在 docker 镜像中，但不了解是否启用了 FIPS / 是否安装了 dracut-fips。

然后，当您复制此图像并在实际启用了 FIPS 的机器上使用它时，cmake 会失败并显示以下错误消息：crypto/fips/fips.c:153: OpenSSL internal error: FATAL FIPS SELFTEST FAILURE

实际上有两个解决方案。

--

解决方案 #1：适当地标记你的docker镜像。

概括：

附言： 如果您确实使用上述方法安装 cmake，那么它将仅在运行容器的目标机器上工作，如果该机器的 FIPS 在构建时被禁用或启用。即，如果启用了 FIPS，则安装 cmake 并在与构建图像的主机的 FIPS 设置不同的机器上运行它，那么您将阅读这篇文章寻求帮助。

如果您想使用上述包管理器安装 cmake，更好的方法是在创建镜像时适当地标记您的 docker 镜像，即：

docker build -t <image-name>-fips-enabled ...如果启用了 FIPS

和

docker build -t <image-name>-fips-disabled ...如果该机器上的 FIPS 被禁用。

这样，你就可以选择正确的docker镜像映像名称-fips-enabled对比图像名称-fips-已禁用根据您的目标机器的 FIPS 设置（您将实际docker run ...使用此图像执行的操作）。

--

解决方案 #2：如果您有 RedHat 容器，请不要使用 zypper（OpenSuse）或 yum。并且该解决方案非常灵活从某种意义上来说独立于 FIPS 设置 = 0 / 1在构建图像的主机上。

我没有使用zypper/yum来安装cmake里面Dockerfile，只是抓取cmake-3.18.2-Linux-x86_64.tar.gz捆绑文件。

在 Dockerfile 中，我只是将此 .tar.gz 文件提取到某个目录中。我还在export PATH:/path/where/I/installed/cmake-3.18.2../bin:/..some_other_paths:/...:/....Dockerfile 中的 RUN 语句中进行了设置。

即 RUN export PATH=/path/where/I/installed/cmake-3.18.2../bin:/...... && <more cmds here> && <some other cmds here> && ... etc，它可以找到任何构建时（cmake 操作）提取的 cmake 3.18.2，并设置相同的路径=/…变量，因此ENV PATH=/.... same value used during RUN for PATH在运行时，当容器运行时，$PATH 全部设置为查找cmake（3.18.2 版本）而不是使用任何现有的/usr/bin/cmake or some other shit）。

Dockerfile 快照：

#    curl -k -sSf -H "X-JFrog-Art-Api:dslfhjlieurqwihlj233lk2l4j6p9usdkajdfasddl809842iijhlkhflhafOHIHFLyeaGoodLuck" \
#    -o /tmp/cmake.tar.gz https://artifactory.company.com/artifactory/some-Local/cmake/cmake-3.18.2-Linux-x86_64.tar.gz && \

和

作为我的umask设置已设为022，解压后我不需要执行任何chicken chmod操作：

#    echo -e "\n-- Installing CMake ...\n" && \
#    tar -xvzpf /tmp/cmake.tar.gz -C /home/docker_nonroot_user/tools/ && \

在 docker 容器内部，正如ENV PATH=/...在 Dockerfile 中为此目标路径设置的那样，cmake在 docker 容器运行时操作中使用了正确的 3.18.2。

构建我安装的位置是：

/home/docker_nonroot_user/tools/cmake-3.18.2-Linux-x86_64/bin/cmake

Docker 容器内的 PATH 为：

/home/docker_nonroot_user/tools/cov-analysis/bin:/home/docker_nonroot_user/tools/cmake-3.18.2-Linux-x86_64/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

结果：

使用以下方式构建的 Docker 镜像解决方案 #2以上，即在一台机器上构建的docker镜像其中 FIPS = 0 又称为已禁用和然后使用同一图像创建容器在完全不同的目标主机上其中 FIPS = 1 又称已启用，我懂了：

87d8104d8c41:/home/docker_nonroot_user # sysctl -a|grep fips_en
crypto.fips_enabled = 1
87d8104d8c41:/home/docker_nonroot_user #
87d8104d8c41:/home/docker_nonroot_user # which cmake
/usr/bin/cmake
87d8104d8c41:/home/docker_nonroot_user #
87d8104d8c41:/home/docker_nonroot_user # cmake --version
crypto/fips/fips.c:153: OpenSSL internal error: FATAL FIPS SELFTEST FAILURE
Aborted (core dumped)
87d8104d8c41:/home/docker_nonroot_user #

87d8104d8c41:/home/docker_nonroot_user #
87d8104d8c41:/home/docker_nonroot_user # ls -l /home/docker_nonroot_user/tools/cmake-3.18.2-Linux-x86_64/bin
total 75504
-rwxr-xr-x 1 root root 11908568 Aug 20  2020 ccmake
-rwxr-xr-x 1 root root 12096216 Aug 20  2020 cmake
-rwxr-xr-x 1 root root 27476480 Aug 20  2020 cmake-gui
-rwxr-xr-x 1 root root 12398808 Aug 20  2020 cpack
-rwxr-xr-x 1 root root 13318712 Aug 20  2020 ctest
87d8104d8c41:/home/docker_nonroot_user #
87d8104d8c41:/home/docker_nonroot_user # ls -l /home/docker_nonroot_user/tools/cmake-3.18.2-Linux-x86_64/bin/cmake
-rwxr-xr-x 1 root root 12096216 Aug 20  2020 /home/docker_nonroot_user/tools/cmake-3.18.2-Linux-x86_64/bin/cmake
87d8104d8c41:/home/docker_nonroot_user #
87d8104d8c41:/home/docker_nonroot_user # /home/docker_nonroot_user/tools/cmake-3.18.2-Linux-x86_64/bin/cmake --version
cmake version 3.18.2

CMake suite maintained and supported by Kitware (kitware.com/cmake).
87d8104d8c41:/home/docker_nonroot_user # : Merry X-mas Baaaaeeebyyy! - no more FIPS shit error now. Next I'll fix some chown on ~<user> and close my story.

解决方案 #3：您可以禁用 FIPS但前提是你被允许这样做，那么您就不需要解决方案 #1 或解决方案 #2。

问题：

问题：

此主机的问题出在容器内部，而不是主机操作系统。

列出并启动 OpenSuse 15.2 容器

运行 Docker 容器

在主机操作系统（RH 7.9）上 --/-- 在 Docker 容器（OpenSuse 15.2）内运行：

现在，证明上面使用的 DOCKER 镜像/容器还不错。

问题：

答案1

实际上有两个解决方案。

结果：

相关内容