环境搭建与工具准备：OpenSSL安装与配置，Python开发环境准备

好，咱们正式开始动手。这一章说白了就是搭台子，把后面所有自动化脚本依赖的工具和库都装好。我见过不少同学在证书吊销脚本上折腾半天，最后发现是 OpenSSL 版本不对或者 Python 库没装全——这种坑，咱们提前填上。

2.1 OpenSSL 的安装与基础配置

OpenSSL 是整个 PKI 体系的瑞士军刀。生成密钥、签发证书、做 CRL，样样离不开它。我个人习惯在 Linux 环境下操作，但 Windows 也能跑，只是路径处理上要小心些。

2.1.1 Linux 环境安装

Ubuntu/Debian 系直接用 apt 装，CentOS/RHEL 用 yum。版本方面，我建议至少 1.1.1 以上，因为 1.0.2 已经 EOL 了，有些新特性不支持。

# Ubuntu / Debian
sudo apt update
sudo apt install openssl -y

# CentOS / RHEL / Rocky
sudo yum install openssl -y

# 验证版本
openssl version
# 输出示例：OpenSSL 1.1.1k  25 Mar 2021
我的经验： 曾经在生产环境遇到过 OpenSSL 1.0.2 生成的 CRL 在 1.1.1 上解析报错的情况。从那以后，我统一要求所有节点使用相同大版本。你如果做自动化吊销，最好也固定版本。

2.1.2 Windows 环境安装

Windows 用户可以去 slproweb.com/products/Win32OpenSSL.html 下载安装包。安装时注意选「Copy OpenSSL DLLs to /bin directory」，这样命令行里就能直接调用了。

装完后加一下环境变量：

# 假设安装路径是 C:\Program Files\OpenSSL-Win64\bin
# 在系统 PATH 里加上这个路径
# 验证
openssl version
注意： Windows 下 OpenSSL 的配置文件默认在安装目录的 bin\cnf\openssl.cnf。如果你后面做 CA 初始化时找不到配置文件，八成是路径没指对。我建议直接复制一份到项目目录里，省得来回找。

2.1.3 验证 OpenSSL 功能是否正常

装完别急着走，跑个简单的自测，确保证书生成和 CRL 功能都能用：

# 生成一个测试私钥
openssl genrsa -out test.key 2048

# 生成自签名证书
openssl req -new -x509 -key test.key -out test.crt -days 365 -subj "/CN=Test"

# 生成空 CRL（验证 CRL 功能）
openssl ca -gencrl -out test.crl -config /etc/ssl/openssl.cnf 2>/dev/null || echo "CRL功能正常"

# 清理测试文件
rm -f test.key test.crt test.crl

如果最后一步报错说找不到 CA 目录，别慌——那是正常的，因为还没初始化 CA。只要前两步能跑通，OpenSSL 就算装好了。

2.2 Python 开发环境准备

Python 我推荐 3.8 以上版本。为什么？因为 cryptography 库从 3.4 版本开始对 3.6 以下的支持已经逐步移除了。你想想看，要是因为 Python 版本太低装不上库，那多冤枉。

2.2.1 安装 Python

Linux 下用包管理器装：

# Ubuntu / Debian
sudo apt install python3 python3-pip python3-venv -y

# CentOS / RHEL
sudo yum install python3 python3-pip -y

# 验证
python3 --version
# 输出示例：Python 3.9.10

Windows 用户去 python.org 下载安装包，安装时记得勾选「Add Python to PATH」。

我建议： 每个项目都用虚拟环境，别一股脑装到全局。我曾经在一个服务器上同时跑三个项目，依赖冲突搞得头大。后来强制自己用 venv，世界清净了。

2.2.2 创建虚拟环境

# 创建项目目录
mkdir cert-revocation-automation
cd cert-revocation-automation

# 创建虚拟环境
python3 -m venv venv

# 激活虚拟环境
# Linux / macOS
source venv/bin/activate

# Windows
venv\Scripts\activate

# 看到 (venv) 前缀就对了

2.3 必要的 Python 库安装

咱们这个课程主要依赖三个库：cryptography、requests，以及一个辅助库 pyOpenSSL。下面我逐个说清楚。

2.3.1 cryptography 库

这是核心中的核心。它封装了 OpenSSL 的底层接口，让我们能用 Python 直接操作证书、密钥、CRL。说白了，你后面写的所有吊销逻辑，底层都是它在干活。

# 安装
pip install cryptography

# 验证安装
python -c "from cryptography import x509; print(x509.__version__)"
# 输出示例：<module 'cryptography.x509' from '...'>
版本要求： cryptography >= 3.4。我建议装最新稳定版，因为旧版本在处理 OCSP 响应时有一些已知 bug。

2.3.2 requests 库

做自动化吊销，免不了要跟 CA 的 API 或者 OCSP 响应器打交道。requests 就是干这个的。它比 Python 自带的 urllib 好用太多——我刚开始写自动化脚本时用的 urllib，后来发现 requests 三行代码能搞定的事，urllib 要写十几行。

# 安装
pip install requests

# 验证
python -c "import requests; print(requests.__version__)"
# 输出示例：2.28.1

2.3.3 pyOpenSSL 库（辅助）

虽然 cryptography 能覆盖大部分场景，但有些操作——比如直接解析 PEM 格式的 CRL 文件、跟 OpenSSL 命令行交互——用 pyOpenSSL 会更顺手。我个人习惯两个库都装上，各取所长。

# 安装
pip install pyOpenSSL

# 验证
python -c "import OpenSSL; print(OpenSSL.__version__)"
# 输出示例：22.1.0

2.3.4 批量安装与依赖锁定

为了方便复现环境，我建议把所有依赖写进 requirements.txt：

# requirements.txt
cryptography>=3.4
requests>=2.25
pyOpenSSL>=21.0

# 批量安装
pip install -r requirements.txt

# 锁定当前版本（可选）
pip freeze > requirements-locked.txt
避坑指南： 我曾经在 CI/CD 流水线上遇到过 cryptography 编译失败的问题，原因是缺少 libssl-dev 和 libffi-dev。如果你在 Linux 上编译安装，记得先装这两个系统包： 
sudo apt install libssl-dev libffi-dev -y

2.4 环境验证脚本

所有东西装完后，跑一个完整的验证脚本，确保每个组件都能正常工作：

#!/usr/bin/env python3
"""
环境验证脚本：检查 OpenSSL、Python 及关键库是否就绪
"""

import subprocess
import sys

def check_openssl():
    """检查 OpenSSL 是否可用"""
    try:
        result = subprocess.run(
            ['openssl', 'version'],
            capture_output=True, text=True, check=True
        )
        print(f"[OK] OpenSSL: {result.stdout.strip()}")
        return True
    except (subprocess.CalledProcessError, FileNotFoundError):
        print("[FAIL] OpenSSL 未安装或不在 PATH 中")
        return False

def check_python():
    """检查 Python 版本"""
    version = sys.version_info
    if version.major >= 3 and version.minor >= 8:
        print(f"[OK] Python: {sys.version.split()[0]}")
        return True
    else:
        print(f"[FAIL] Python 版本过低: {sys.version}")
        return False

def check_libraries():
    """检查关键库"""
    libs = ['cryptography', 'requests', 'OpenSSL']
    for lib in libs:
        try:
            __import__(lib)
            print(f"[OK] {lib} 已安装")
        except ImportError:
            print(f"[FAIL] {lib} 未安装")

if __name__ == "__main__":
    print("=" * 40)
    print("环境验证开始")
    print("=" * 40)
    
    openssl_ok = check_openssl()
    python_ok = check_python()
    check_libraries()
    
    print("=" * 40)
    if openssl_ok and python_ok:
        print("环境就绪，可以开始后续章节！")
    else:
        print("请修复上述问题后重试")
    print("=" * 40)

保存为 check_env.py，然后运行：

python check_env.py

如果所有项都显示 [OK]，恭喜你，环境搭建完成。后面咱们就可以直接写代码了。

2.5 本章知识体系总览

下面这张图把本章的核心逻辑串起来了——从底层工具到上层库，再到验证流程，一目了然：

环境搭建知识体系图 环境搭建与工具准备 · 知识体系 OpenSSL 证书/CRL 生成引擎 Python 3.8+ 脚本运行环境 虚拟环境 venv 依赖隔离 cryptography 证书/CRL 操作核心 requests HTTP API 调用 pyOpenSSL OpenSSL 封装辅助 环境验证脚本 check_env.py OpenSSL 可用性 → Python 版本 → 库导入检查 ✅ 环境就绪，可以开始自动化吊销开发

嗯，到这里环境就全部搭好了。后面每一章的代码，你都可以在这个环境里直接跑。记住：环境一致性是自动化运维的命根子，别偷懒。

← 上一章 📖 返回目录 下一章 →