简介针对银河麒麟桌面操作系统V10(sp1)忘记用户密码的常见故障这份PDF手册给出了基于单用户模式的密码重置完整流程同时适用于X86与ARM架构。内容以“kylin”用户为例详细演示了从开机进入GRUB界面、按“e”编辑启动项到在linux结尾行添加init/bin/bash consoletty0参数再通过CtrlX或F10进入单用户模式之后执行passwd命令设置新密码最后使用reboot -f或CtrlAltDelete强制重启生效的全过程。整份操作手册仅4页却完整覆盖从引导编辑、单用户进入、密码修改到强制重启的闭环步骤间配有屏幕示意与注释特别针对黑屏等待、参数位置等易错点做了提醒便于读者按图操作。资源为单个PDF文件体积仅327KB下载后可随时翻阅。当前已有1007人学习适合系统管理员、运维人员以及普通用户日常应急参考也可作为学习GRUB维护与Linux密码管理的基础材料。 机器还在正常跑但没人记得root密码——这种场面做过系统运维或IT支持的应该都不陌生。我前不久就在一台银河麒麟桌面V10(sp1)上碰到了同样的事业务没停问题是要临时装个内核模块必须用管理员身份执行结果几个人翻遍了交接记录也没找到能用的口令。当时没走重装系统那条路而是重启、进入单用户模式、用passwd命令重置密码、再正常重启验证整套流程下来也就十多分钟。这篇文章把这次实操完整拆开从GRUB启动参数怎么改、单用户环境怎么进到passwd各个参数怎么用、重启后要验证哪些项一步步讲清楚最后再把那些容易翻车的细节单独拿出来说。单用户模式一直是Linux维护场景里的“压箱底工具”名字听着神秘本质上是系统启动早期的一个最小化运行环境。此时网络服务、图形界面、各类业务进程都没有起来系统只保留最基本的内核运行和文件系统访问并直接向操作者提供一个root权限的shell。正因为这个机制忘记密码才不需要走到重装系统的绝路上。这篇内容适合三类人看公司里负责麒麟桌面系统日常维护的IT同事自己在物理机上装了银河麒麟想搞清楚密码恢复机制的用户以及想弄明白这套引导流程原理的Linux爱好者。无论你属于哪一类按顺序操作都能复现但前提是你得能实际触达这台机器——不管是坐在它面前还是通过带外管理口。1. 为什么密码恢复要选单用户模式适用边界与前置条件1.1 “密码失联”的典型场景和方案取舍密码丢失从来不是某一个固定时间点的故障它往往出现在最不该出错的时刻。我遇到过的场景大概有三类一种是长期使用图形界面登录普通用户密码记得很清楚但root密码太久没用已经彻底模糊第二种是运维交接时口令台账遗失负责的人走了密码也跟着“失联”第三种是自己改了密码后没有同步记录过了几周再登录怎么输都不对。遇到这类问题能走的路线其实不止一条。Live CD启动后chroot进原系统、挂载系统盘后离线修改shadow文件、单用户模式重置、重装系统这些都是可选方案。重装系统代价最高应用配置、用户数据、软件环境全部推倒重来对一台跑着业务的机器来说基本不可接受。Live CD和挂盘修改对个人电脑可行但服务器往往有阵列卡或加密盘临时找外部介质引导存在驱动和兼容性问题反而拖慢节奏。相比之下单用户模式不需要额外介质、不需要拆机、不依赖网络直接在引导阶段切入是所有方案里最顺的一条路。1.2 动手前必须确认的几件事操作本身并不难但事先确认环境能省掉很多后知后觉的麻烦。以下是我每次动手前都会过的清单建议你也养成这个习惯。第一确认自己能否触达物理控制台。单用户模式的操作依赖于本地键盘和显示器远程SSH工具在这个阶段不适用。如果是远程机房里的机器你需要通过IPMI、iDRAC、iLO这类带外管理口先拿到虚拟控制台否则后面所有步骤都无从谈起。第二确认启动方式。银河麒麟桌面V10(sp1)支持Legacy BIOS和UEFI两种固件引导方式调出GRUB菜单的操作细节略有差异但只要知道该按什么键、编辑哪一行两种方式都能搞定。第三确认没有未落盘的紧急数据。重启会强制中断当前运行状态虽然正常情况下不会损坏系统但如果有应用正在写数据、数据库正在提交事务硬重启总归有一定风险。在能停服的前提下先走正常关机流程再开机而不是直接按复位键。第四心里要有备份意识。如果系统里存在无法重建的关键数据操作前用快照或克隆盘做一次备份毕竟重置密码涉及根文件系统的写入稳妥一点总没错。1.3 单用户模式能绕过密码的底层原理很多人好奇为什么启动参数改一下就能绕过登录验证。要理解这点得先分清“内核启动阶段”和“操作系统启动阶段”的区别。内核被引导加载器拉起之后会执行第一个用户态程序init这个程序负责挂载根文件系统、启动systemd服务、拉起登录管理器最终呈现给用户的是一套完整的多用户环境。而我们输入密码登录发生在登录管理器或者是SSH服务这一层。单用户模式的核心就是告诉内核“你不需要跑完整的init流程直接给我一个shell”。正常情况下这个shell需要root身份验证但在单用户场景下由于系统尚未完成完整的用户态初始化身份验证服务也没有加载内核就直接把操作者当成root丢进了shell。所以密码验证在这个阶段不是被“绕过”而是根本没有常驻的认证流程可走。理解了这一点你就能明白为什么只要你能编辑内核启动参数就基本能拿到系统的操作权。2. 进入单用户模式GRUB引导菜单修改的两条路径2.1 调出GRUB菜单并定位内核启动参数整个流程最关键的入口就是让系统停到GRUB菜单等待你的指令。银河麒麟桌面V10(sp1)默认使用GRUB2引导在开机自检完成后、系统加载内核前屏幕上会有一小段菜单显示时间。常见做法是开机后立刻连续按Esc键或Shift键不同固件下响应键位略有差异多按几次总能抓到菜单。如果菜单一闪而过或者压根没出现多半是超时时间设置得太短。这时候不用慌等待系统完全启动后再执行一次reboot在第二次重启时更早、更频繁地按键即可。个别机器如果开启了UEFI的快速启动或Windows双系统引导BIOS层面会跳过部分启动项展示可能需要在固件设置里临时关闭快速启动这个视具体情况调整。看到GRUB菜单后选择默认的内核启动项通常是一行带有“银河麒麟”字样的条目。此时先不要急着回车直接按下字母e进入编辑模式。GRUB会展开一份启动配置文件包含set root、linux、initrd等若干行。我们真正要改的是以linux开头的这一行它后面跟的是vmlinuz内核路径和一系列启动参数类似linux /boot/vmlinuz-4.19.90-... rootUUID... ro quiet splash。2.2 路径一在内核参数末尾追加singleLinux的传统方式是在内核参数后面追加一个single告诉内核以单用户模式启动。操作时用方向键把光标移动到linux那一行的行尾先敲一个空格再输入single然后按CtrlX或F10启动。追加了single之后系统仍然会走init流程但不会启动多用户运行级别也不会启动网络和图形界面。systemd会把系统带到一个维护shell里这个shell通常以root身份运行可以直接执行passwd命令。这条路径在大多数发行版上表现稳定但也有一个变数如果系统预先配置了启动时校验root密码那么在进入单用户shell之前可能还是会弹出一个密码提示。如果出现这种情况不要硬试密码直接看下面的第二种路径它更直接。2.3 路径二改用init/bin/bash直接进入Shell相比single我更推荐在密码遗忘场景下使用init/bin/bash。这个参数的意思是不要执行原生的init程序而是让内核直接拉起一个/bin/bash作为第一个用户态进程。好处是跳过了init和systemd的整体初始化基本不会触发任何认证组件的加载也不存在“单用户模式还要密码”的尴尬。具体操作同样是进入GRUB编辑界面在linux那一行的行尾追加init/bin/bash。部分机器为了保证根文件系统能正常写入还会顺手把参数里的ro改成rw避免进入shell后根分区仍是只读状态。如果没有改也可以进入shell后再手动重新挂载这块我在第5章会单独讲。保存修改后按CtrlX启动屏幕会快速滚动几行启动日志最后停在一个以#结尾的命令提示符前这就说明你已经进入了bash环境。到这里密码重置的前置条件已经全部就位接下来就是passwd命令的主场。3. passwd命令实战重置root与普通用户密码3.1 重置root密码的操作顺序进入bash环境后第一条命令我建议先确认一下当前身份和根文件系统的挂载状态。执行whoami应当返回root执行mount | grep / 则能看到根分区的挂载属性。如果显示ro需要先执行mount -o remount,rw /把根文件系统切换为可写这一步直接决定后面passwd能不能成功。很多人在这个环境里执行passwd报错九成都是因为忘了先重新挂载。确认可写后执行passwd root终端会提示输入两次新密码。这里要特别提醒终端不会显示你输入的字符属于正常现象不要以为是键盘失灵。两次输入一致后passwd会更新/etc/shadow文件中root对应的密码哈希同时显示一行类似“passwd: password updated successfully”的提示。有些系统出于安全策略配置了PAM的复杂度校验如果密码设置得过于简单passwd会拒绝执行并提示原因。建议至少使用12位以上、包含大小写字母数字和符号的强口令。另外root密码设置的时候务必考虑后续的业务使用场景别设置一个复杂到连自己都记不住的口令那样你又得回来重走一遍这条路。3.2 修改普通用户密码和其他实用参数重置root只是其中一个需求实际运维中还经常遇到普通用户的密码过期或遗忘。在单用户shell里修改普通用户的密码同样是passwd 用户名命令会自动同步修改该用户在shadow文件中的条目。例如passwd zhangsan会为zhangsan设置新密码。passwd命令的参数相当实用我挑几个高频场景展开。passwd -l 用户名可以快速锁定账户被锁定用户无法登录但密码本身不会被清空passwd -u 用户名是解锁操作会把账户恢复到可登录状态passwd -e 用户名则强制要求该用户下次登录时修改密码适合用来做周期性口令更新的辅助。配合chage -M 90 用户名这类老化设置可以约束一个密码最多使用90天。如果你想检查一个账户当前的状态可以用passwd -S 用户名它返回的内容包含账户是否锁定、密码是否已设置、以及距离密码过期的天数等信息。在线下维护的场合这些命令的价值主要体现在不用反复重启系统就能完成账户的批量管理和初始化工。3.3 passwd执行失败的排查思路操作途中如果遇到报错先别急着怀疑系统坏了绝大多数情况指向三类问题。第一类是文件系统只读。前面反复强调过的场景进入shell后如果没执行重新挂载passwd会提示无法操作密码文件错误信息通常含有Authentication token manipulation error或cannot lock /etc/shadow。处理方式就是执行mount -o remount,rw /然后重试。第二类是SELinux或AppArmor等安全组件导致的权限异常。银河麒麟桌面版本对安全模块有不同程度的集成如果passwd提示权限不足但文件系统已经是可写状态可以检查一下相关文件的安全上下文是否正常或者临时查看ls -Z /etc/shadow确认SELinux标签没有被重置破坏。在紧急恢复的场景下这一步通常不会遇到但遇到过就知道坑在哪。第三类是用户信息不存在或用户处于锁定状态。passwd 用户名如果提示用户不存在先执行cat /etc/passwd | grep 用户名确认该账户是否真实存在如果账户存在但无法登录查看passwd -S 用户名的状态位必要时先用-u解锁再设置密码。4. 重启验证与系统恢复后的检查清单4.1 从单用户环境安全退出并引导系统密码设置完成后不要直接拔电源或按复位键先让文件系统同步落盘。在bash环境下执行sync它会强制把缓存中的数据写入磁盘避免密码修改结果还没真正持久化就被打断。然后执行exit退出shell系统会尝试继续启动流程。如果机器没有自动进入正常系统可以执行reboot -f强制重启。之所以要在reboot前先做sync是因为强制重启不会像正常关机那样先同步文件系统数据丢失和文件系统损坏的风险客观存在先sync一下相当于补一层保险。对现场维护来说节奏可以稍微从容一点该同步的就同步不差这几秒。重启后如果GRUB菜单再次出现直接选择正常的内核启动项进入系统。这次不再做任何参数修改让它走完整的init流程最终会看到登录管理器或图形登录界面。4.2 重启后需要验证的项目实测中登录能成功不代表一切正常我习惯在重启后按顺序检查几项你能避免“密码对了但服务挂了”的隐性故障。第一用刚设置的root密码在本地终端登录确认登录成功。如果是桌面版本可以再验证图形登录界面能正常进入桌面环境因为有些密码策略和桌面认证模块之间兼容性并不总是完美。登录后顺手执行id或sudo -i确认当前确实有root权限而不是仅仅登录了一个普通会话。第二检查关键服务是否恢复到正常启动状态。执行systemctl status或systemctl list-units --statefailed重点看有没有启动失败的服务。单用户模式虽然不加载多用户服务但重启后正常的systemd流程会把这些服务拉起如果存在依赖顺序问题可能在这一步暴露。第三查看当天的系统日志确认重启过程中没有磁盘挂载错误。执行journalctl --since today | grep -i error或直接tail -50 /var/log/messages如果出现和根分区、swap分区相关的报错需要进一步排查避免问题累积到下次重启。第四确认新密码已经同步到所有需要认证的场景。比如桌面屏幕锁、应用代理登录、sudo密码等是否都能用新密码因为在部分桌面环境下密码更新后需要在钥匙串管理里重新输入一次否则个别应用会一直报认证失败。5. 容易翻车的细节与安全提醒5.1 只读根文件系统最经典的一个坑单用户模式下文件系统可能是只读状态这个细节我每次都要单独拎出来讲因为它实在太隐蔽了。进入bash环境后提示符看起来一切正常你甚至可以执行ls、cat这些不写入的操作但如果直接跑passwd就会卡在密码文件那里动不了。本质上这是因为内核在启动时按ro参数挂载了根文件系统而我们没有重新挂载成可写。单用户模式并没有自动处理这一步它只是给了你一个操作入口。遇到这个情况先执行mount -o remount,rw /再继续后续操作。有些版本的引导配置里还有staged之类的选项但那不是我们讨论的范围记住remount, rw这一条就够了。另外passwd写回shadow文件后也别急着走建议顺手执行一次cat /etc/shadow | grep root看一眼root那一行的结构是否正常。正常的话会看到root:$6$......这样的格式$6$代表sha512加密算法如果看到其他奇怪的符号或空字段说明密码设置大概率没成功。5.2 物理安全和引导保护把入口也管起来能通过单用户模式重置密码本质上意味着任何能接触到机器控制台的人都有机会拿到root权限。这一点是双刃剑它帮你在密码失联时恢复系统同时也意味着机器必须规范部署在对物理访问有控制的区域。如果一台服务器随便放在开放的办公区那这个入口就等于向所有路过的人敞开。在操作系统安全层面建议给GRUB本身加上密码保护。设置方法通常是执行grub2-setpassword它会要求录入一个GRUB用户名和密码后续在编辑启动参数前必须通过这个认证。这样即使别人能碰到键盘也无法随意往内核参数里追加single或init/bin/bash。配合固件层的开机密码可以形成一道基础的物理防线。同时看门狗式的防护也很关键不要把生产环境的root密码长期只存在某一个人脑子里或者只写在某个纸质台账里。口令应该是封存在多人可取的安全保险库中每次使用都有变更记录。这不只是怕忘记更多是防止当某个人离开公司后某个系统的钥匙也一起“消失”。5.3 更规范的替代方案与事后管理单用户模式改密码本质上属于应急手段它解决的是“现在就能进去”的问题解决不了“密码管理混乱”的根源。如果在实际工作中频繁走到这一步就说明该考虑更规范的账户管理体系了。比较常见的做法是把终端机器的认证统一收到集中认证域比如LDAP或AD域。这样一来管理员密码不落本地用户密码有统一的密码策略约束和轮换周期本地root只作紧急维护通道。对银河麒麟桌面V10(sp1)来说它本身就支持对接域环境很多单位在批量部署时也会做这个动作。其次就是备份策略。越是在关键场景备份越不能省。即使不做全盘快照至少定期备份/etc/passwd、/etc/shadow、/etc/group这些核心账户文件和关键应用配置。在需要恢复的紧急关头拥有一份最近的配置备份比什么都管用。最后说一点个人经验每次做完这类密码恢复操作我都会顺手在维护记录里补一行写明“什么时间、在哪台机器、基于什么原因、修改了哪个用户的口令、操作人是谁”。乍看有点多此一举但几个月后当有人问起“这个root密码到底是谁改的”你能拿出记录比一脸茫然要强得多。密码这类东西最难的不是改而是改完之后还能持续管得住。本文还有配套的精品资源点击获取
银河麒麟V10忘记root密码？单用户模式+GRUB修改实战重置
简介针对银河麒麟桌面操作系统V10(sp1)忘记用户密码的常见故障这份PDF手册给出了基于单用户模式的密码重置完整流程同时适用于X86与ARM架构。内容以“kylin”用户为例详细演示了从开机进入GRUB界面、按“e”编辑启动项到在linux结尾行添加init/bin/bash consoletty0参数再通过CtrlX或F10进入单用户模式之后执行passwd命令设置新密码最后使用reboot -f或CtrlAltDelete强制重启生效的全过程。整份操作手册仅4页却完整覆盖从引导编辑、单用户进入、密码修改到强制重启的闭环步骤间配有屏幕示意与注释特别针对黑屏等待、参数位置等易错点做了提醒便于读者按图操作。资源为单个PDF文件体积仅327KB下载后可随时翻阅。当前已有1007人学习适合系统管理员、运维人员以及普通用户日常应急参考也可作为学习GRUB维护与Linux密码管理的基础材料。 机器还在正常跑但没人记得root密码——这种场面做过系统运维或IT支持的应该都不陌生。我前不久就在一台银河麒麟桌面V10(sp1)上碰到了同样的事业务没停问题是要临时装个内核模块必须用管理员身份执行结果几个人翻遍了交接记录也没找到能用的口令。当时没走重装系统那条路而是重启、进入单用户模式、用passwd命令重置密码、再正常重启验证整套流程下来也就十多分钟。这篇文章把这次实操完整拆开从GRUB启动参数怎么改、单用户环境怎么进到passwd各个参数怎么用、重启后要验证哪些项一步步讲清楚最后再把那些容易翻车的细节单独拿出来说。单用户模式一直是Linux维护场景里的“压箱底工具”名字听着神秘本质上是系统启动早期的一个最小化运行环境。此时网络服务、图形界面、各类业务进程都没有起来系统只保留最基本的内核运行和文件系统访问并直接向操作者提供一个root权限的shell。正因为这个机制忘记密码才不需要走到重装系统的绝路上。这篇内容适合三类人看公司里负责麒麟桌面系统日常维护的IT同事自己在物理机上装了银河麒麟想搞清楚密码恢复机制的用户以及想弄明白这套引导流程原理的Linux爱好者。无论你属于哪一类按顺序操作都能复现但前提是你得能实际触达这台机器——不管是坐在它面前还是通过带外管理口。1. 为什么密码恢复要选单用户模式适用边界与前置条件1.1 “密码失联”的典型场景和方案取舍密码丢失从来不是某一个固定时间点的故障它往往出现在最不该出错的时刻。我遇到过的场景大概有三类一种是长期使用图形界面登录普通用户密码记得很清楚但root密码太久没用已经彻底模糊第二种是运维交接时口令台账遗失负责的人走了密码也跟着“失联”第三种是自己改了密码后没有同步记录过了几周再登录怎么输都不对。遇到这类问题能走的路线其实不止一条。Live CD启动后chroot进原系统、挂载系统盘后离线修改shadow文件、单用户模式重置、重装系统这些都是可选方案。重装系统代价最高应用配置、用户数据、软件环境全部推倒重来对一台跑着业务的机器来说基本不可接受。Live CD和挂盘修改对个人电脑可行但服务器往往有阵列卡或加密盘临时找外部介质引导存在驱动和兼容性问题反而拖慢节奏。相比之下单用户模式不需要额外介质、不需要拆机、不依赖网络直接在引导阶段切入是所有方案里最顺的一条路。1.2 动手前必须确认的几件事操作本身并不难但事先确认环境能省掉很多后知后觉的麻烦。以下是我每次动手前都会过的清单建议你也养成这个习惯。第一确认自己能否触达物理控制台。单用户模式的操作依赖于本地键盘和显示器远程SSH工具在这个阶段不适用。如果是远程机房里的机器你需要通过IPMI、iDRAC、iLO这类带外管理口先拿到虚拟控制台否则后面所有步骤都无从谈起。第二确认启动方式。银河麒麟桌面V10(sp1)支持Legacy BIOS和UEFI两种固件引导方式调出GRUB菜单的操作细节略有差异但只要知道该按什么键、编辑哪一行两种方式都能搞定。第三确认没有未落盘的紧急数据。重启会强制中断当前运行状态虽然正常情况下不会损坏系统但如果有应用正在写数据、数据库正在提交事务硬重启总归有一定风险。在能停服的前提下先走正常关机流程再开机而不是直接按复位键。第四心里要有备份意识。如果系统里存在无法重建的关键数据操作前用快照或克隆盘做一次备份毕竟重置密码涉及根文件系统的写入稳妥一点总没错。1.3 单用户模式能绕过密码的底层原理很多人好奇为什么启动参数改一下就能绕过登录验证。要理解这点得先分清“内核启动阶段”和“操作系统启动阶段”的区别。内核被引导加载器拉起之后会执行第一个用户态程序init这个程序负责挂载根文件系统、启动systemd服务、拉起登录管理器最终呈现给用户的是一套完整的多用户环境。而我们输入密码登录发生在登录管理器或者是SSH服务这一层。单用户模式的核心就是告诉内核“你不需要跑完整的init流程直接给我一个shell”。正常情况下这个shell需要root身份验证但在单用户场景下由于系统尚未完成完整的用户态初始化身份验证服务也没有加载内核就直接把操作者当成root丢进了shell。所以密码验证在这个阶段不是被“绕过”而是根本没有常驻的认证流程可走。理解了这一点你就能明白为什么只要你能编辑内核启动参数就基本能拿到系统的操作权。2. 进入单用户模式GRUB引导菜单修改的两条路径2.1 调出GRUB菜单并定位内核启动参数整个流程最关键的入口就是让系统停到GRUB菜单等待你的指令。银河麒麟桌面V10(sp1)默认使用GRUB2引导在开机自检完成后、系统加载内核前屏幕上会有一小段菜单显示时间。常见做法是开机后立刻连续按Esc键或Shift键不同固件下响应键位略有差异多按几次总能抓到菜单。如果菜单一闪而过或者压根没出现多半是超时时间设置得太短。这时候不用慌等待系统完全启动后再执行一次reboot在第二次重启时更早、更频繁地按键即可。个别机器如果开启了UEFI的快速启动或Windows双系统引导BIOS层面会跳过部分启动项展示可能需要在固件设置里临时关闭快速启动这个视具体情况调整。看到GRUB菜单后选择默认的内核启动项通常是一行带有“银河麒麟”字样的条目。此时先不要急着回车直接按下字母e进入编辑模式。GRUB会展开一份启动配置文件包含set root、linux、initrd等若干行。我们真正要改的是以linux开头的这一行它后面跟的是vmlinuz内核路径和一系列启动参数类似linux /boot/vmlinuz-4.19.90-... rootUUID... ro quiet splash。2.2 路径一在内核参数末尾追加singleLinux的传统方式是在内核参数后面追加一个single告诉内核以单用户模式启动。操作时用方向键把光标移动到linux那一行的行尾先敲一个空格再输入single然后按CtrlX或F10启动。追加了single之后系统仍然会走init流程但不会启动多用户运行级别也不会启动网络和图形界面。systemd会把系统带到一个维护shell里这个shell通常以root身份运行可以直接执行passwd命令。这条路径在大多数发行版上表现稳定但也有一个变数如果系统预先配置了启动时校验root密码那么在进入单用户shell之前可能还是会弹出一个密码提示。如果出现这种情况不要硬试密码直接看下面的第二种路径它更直接。2.3 路径二改用init/bin/bash直接进入Shell相比single我更推荐在密码遗忘场景下使用init/bin/bash。这个参数的意思是不要执行原生的init程序而是让内核直接拉起一个/bin/bash作为第一个用户态进程。好处是跳过了init和systemd的整体初始化基本不会触发任何认证组件的加载也不存在“单用户模式还要密码”的尴尬。具体操作同样是进入GRUB编辑界面在linux那一行的行尾追加init/bin/bash。部分机器为了保证根文件系统能正常写入还会顺手把参数里的ro改成rw避免进入shell后根分区仍是只读状态。如果没有改也可以进入shell后再手动重新挂载这块我在第5章会单独讲。保存修改后按CtrlX启动屏幕会快速滚动几行启动日志最后停在一个以#结尾的命令提示符前这就说明你已经进入了bash环境。到这里密码重置的前置条件已经全部就位接下来就是passwd命令的主场。3. passwd命令实战重置root与普通用户密码3.1 重置root密码的操作顺序进入bash环境后第一条命令我建议先确认一下当前身份和根文件系统的挂载状态。执行whoami应当返回root执行mount | grep / 则能看到根分区的挂载属性。如果显示ro需要先执行mount -o remount,rw /把根文件系统切换为可写这一步直接决定后面passwd能不能成功。很多人在这个环境里执行passwd报错九成都是因为忘了先重新挂载。确认可写后执行passwd root终端会提示输入两次新密码。这里要特别提醒终端不会显示你输入的字符属于正常现象不要以为是键盘失灵。两次输入一致后passwd会更新/etc/shadow文件中root对应的密码哈希同时显示一行类似“passwd: password updated successfully”的提示。有些系统出于安全策略配置了PAM的复杂度校验如果密码设置得过于简单passwd会拒绝执行并提示原因。建议至少使用12位以上、包含大小写字母数字和符号的强口令。另外root密码设置的时候务必考虑后续的业务使用场景别设置一个复杂到连自己都记不住的口令那样你又得回来重走一遍这条路。3.2 修改普通用户密码和其他实用参数重置root只是其中一个需求实际运维中还经常遇到普通用户的密码过期或遗忘。在单用户shell里修改普通用户的密码同样是passwd 用户名命令会自动同步修改该用户在shadow文件中的条目。例如passwd zhangsan会为zhangsan设置新密码。passwd命令的参数相当实用我挑几个高频场景展开。passwd -l 用户名可以快速锁定账户被锁定用户无法登录但密码本身不会被清空passwd -u 用户名是解锁操作会把账户恢复到可登录状态passwd -e 用户名则强制要求该用户下次登录时修改密码适合用来做周期性口令更新的辅助。配合chage -M 90 用户名这类老化设置可以约束一个密码最多使用90天。如果你想检查一个账户当前的状态可以用passwd -S 用户名它返回的内容包含账户是否锁定、密码是否已设置、以及距离密码过期的天数等信息。在线下维护的场合这些命令的价值主要体现在不用反复重启系统就能完成账户的批量管理和初始化工。3.3 passwd执行失败的排查思路操作途中如果遇到报错先别急着怀疑系统坏了绝大多数情况指向三类问题。第一类是文件系统只读。前面反复强调过的场景进入shell后如果没执行重新挂载passwd会提示无法操作密码文件错误信息通常含有Authentication token manipulation error或cannot lock /etc/shadow。处理方式就是执行mount -o remount,rw /然后重试。第二类是SELinux或AppArmor等安全组件导致的权限异常。银河麒麟桌面版本对安全模块有不同程度的集成如果passwd提示权限不足但文件系统已经是可写状态可以检查一下相关文件的安全上下文是否正常或者临时查看ls -Z /etc/shadow确认SELinux标签没有被重置破坏。在紧急恢复的场景下这一步通常不会遇到但遇到过就知道坑在哪。第三类是用户信息不存在或用户处于锁定状态。passwd 用户名如果提示用户不存在先执行cat /etc/passwd | grep 用户名确认该账户是否真实存在如果账户存在但无法登录查看passwd -S 用户名的状态位必要时先用-u解锁再设置密码。4. 重启验证与系统恢复后的检查清单4.1 从单用户环境安全退出并引导系统密码设置完成后不要直接拔电源或按复位键先让文件系统同步落盘。在bash环境下执行sync它会强制把缓存中的数据写入磁盘避免密码修改结果还没真正持久化就被打断。然后执行exit退出shell系统会尝试继续启动流程。如果机器没有自动进入正常系统可以执行reboot -f强制重启。之所以要在reboot前先做sync是因为强制重启不会像正常关机那样先同步文件系统数据丢失和文件系统损坏的风险客观存在先sync一下相当于补一层保险。对现场维护来说节奏可以稍微从容一点该同步的就同步不差这几秒。重启后如果GRUB菜单再次出现直接选择正常的内核启动项进入系统。这次不再做任何参数修改让它走完整的init流程最终会看到登录管理器或图形登录界面。4.2 重启后需要验证的项目实测中登录能成功不代表一切正常我习惯在重启后按顺序检查几项你能避免“密码对了但服务挂了”的隐性故障。第一用刚设置的root密码在本地终端登录确认登录成功。如果是桌面版本可以再验证图形登录界面能正常进入桌面环境因为有些密码策略和桌面认证模块之间兼容性并不总是完美。登录后顺手执行id或sudo -i确认当前确实有root权限而不是仅仅登录了一个普通会话。第二检查关键服务是否恢复到正常启动状态。执行systemctl status或systemctl list-units --statefailed重点看有没有启动失败的服务。单用户模式虽然不加载多用户服务但重启后正常的systemd流程会把这些服务拉起如果存在依赖顺序问题可能在这一步暴露。第三查看当天的系统日志确认重启过程中没有磁盘挂载错误。执行journalctl --since today | grep -i error或直接tail -50 /var/log/messages如果出现和根分区、swap分区相关的报错需要进一步排查避免问题累积到下次重启。第四确认新密码已经同步到所有需要认证的场景。比如桌面屏幕锁、应用代理登录、sudo密码等是否都能用新密码因为在部分桌面环境下密码更新后需要在钥匙串管理里重新输入一次否则个别应用会一直报认证失败。5. 容易翻车的细节与安全提醒5.1 只读根文件系统最经典的一个坑单用户模式下文件系统可能是只读状态这个细节我每次都要单独拎出来讲因为它实在太隐蔽了。进入bash环境后提示符看起来一切正常你甚至可以执行ls、cat这些不写入的操作但如果直接跑passwd就会卡在密码文件那里动不了。本质上这是因为内核在启动时按ro参数挂载了根文件系统而我们没有重新挂载成可写。单用户模式并没有自动处理这一步它只是给了你一个操作入口。遇到这个情况先执行mount -o remount,rw /再继续后续操作。有些版本的引导配置里还有staged之类的选项但那不是我们讨论的范围记住remount, rw这一条就够了。另外passwd写回shadow文件后也别急着走建议顺手执行一次cat /etc/shadow | grep root看一眼root那一行的结构是否正常。正常的话会看到root:$6$......这样的格式$6$代表sha512加密算法如果看到其他奇怪的符号或空字段说明密码设置大概率没成功。5.2 物理安全和引导保护把入口也管起来能通过单用户模式重置密码本质上意味着任何能接触到机器控制台的人都有机会拿到root权限。这一点是双刃剑它帮你在密码失联时恢复系统同时也意味着机器必须规范部署在对物理访问有控制的区域。如果一台服务器随便放在开放的办公区那这个入口就等于向所有路过的人敞开。在操作系统安全层面建议给GRUB本身加上密码保护。设置方法通常是执行grub2-setpassword它会要求录入一个GRUB用户名和密码后续在编辑启动参数前必须通过这个认证。这样即使别人能碰到键盘也无法随意往内核参数里追加single或init/bin/bash。配合固件层的开机密码可以形成一道基础的物理防线。同时看门狗式的防护也很关键不要把生产环境的root密码长期只存在某一个人脑子里或者只写在某个纸质台账里。口令应该是封存在多人可取的安全保险库中每次使用都有变更记录。这不只是怕忘记更多是防止当某个人离开公司后某个系统的钥匙也一起“消失”。5.3 更规范的替代方案与事后管理单用户模式改密码本质上属于应急手段它解决的是“现在就能进去”的问题解决不了“密码管理混乱”的根源。如果在实际工作中频繁走到这一步就说明该考虑更规范的账户管理体系了。比较常见的做法是把终端机器的认证统一收到集中认证域比如LDAP或AD域。这样一来管理员密码不落本地用户密码有统一的密码策略约束和轮换周期本地root只作紧急维护通道。对银河麒麟桌面V10(sp1)来说它本身就支持对接域环境很多单位在批量部署时也会做这个动作。其次就是备份策略。越是在关键场景备份越不能省。即使不做全盘快照至少定期备份/etc/passwd、/etc/shadow、/etc/group这些核心账户文件和关键应用配置。在需要恢复的紧急关头拥有一份最近的配置备份比什么都管用。最后说一点个人经验每次做完这类密码恢复操作我都会顺手在维护记录里补一行写明“什么时间、在哪台机器、基于什么原因、修改了哪个用户的口令、操作人是谁”。乍看有点多此一举但几个月后当有人问起“这个root密码到底是谁改的”你能拿出记录比一脸茫然要强得多。密码这类东西最难的不是改而是改完之后还能持续管得住。本文还有配套的精品资源点击获取