Некоторые дистрибутивы помечают системный Python как EXTERNALLY-MANAGED, чтобы pip не перезаписал файлы, которыми управляет пакетный менеджер ОС. Защита намеренная.

Выберите изоляцию по умолчанию

Для приложения создайте venv или контейнер, а системные библиотеки устанавливайте штатным менеджером дистрибутива, который знает их владельцев и зависимости.

Понимайте силу обхода

Флаг –break-system-packages разрешает pip изменить защищенную установку, но после этого обновление ОС способно заменить файлы либо получить несовместимый набор версий без понятного отката и достоверной карты владельцев каждого файла.

python -m pip install --break-system-packages package_name

Ограничьте аварийный сценарий

Если обход неизбежен в одноразовом образе, зафиксируйте базовый image, версии, команду и тест восстановления, не применяя прием на пользовательской машине.

Название параметра предупреждает о риске прямо, поэтому сначала выясните владельца интерпретатора и только потом решайте, допустимо ли разрушить его гарантию управления.

Дополнительную защиту дает –require-virtualenv. Флаг описан в документации pip install.