1. 从一次真实的运维“锁门”事件说起

上周，我们团队的一台部署了银河麒麟V10操作系统的测试服务器突然“失联”了。不是网络问题，也不是服务宕机，而是负责维护的同事休假，交接时遗漏了root密码。这台服务器上跑着一个关键服务的测试环境，所有配置和数据库都在里面。一时间，项目进度眼看就要被卡住。大家的第一反应可能是：“进单用户模式改啊！”或者“用Live CD启动重置呗！”但实际情况是，这是一台物理服务器，托管在机房，没有配置带外管理（iDRAC/iLO），我们手头也没有银河麒麟V10的安装镜像。在不能物理接触、没有外部引导介质的情况下，如何重置一个已知的、但被遗忘的root密码？

这个场景可能比想象中更常见：远程的云主机、缺乏管理的边缘设备、或者像我们这样交接疏漏的线下服务器。今天，我就结合这次实战经历和后续的系统性梳理，详细拆解在银河麒麟V10（包括SP1及后续版本）操作系统上，重置root密码的几种核心方法、其背后的原理、各自的适用边界，以及最重要的——那些官方文档很少提及的“坑”和操作细节。无论你是系统管理员、运维工程师，还是偶尔需要维护国产化环境的开发者，这份从“救火”到“防火”的完整指南，或许能帮你省下几个小时甚至更长的故障处理时间。

2. 理解银河麒麟V10的认证与引导机制：重置密码的底层逻辑

在动手操作之前，我们必须先搞清楚一件事：在Linux系统中，重置root密码的本质是什么？它并不是“破解”或“解密”，而是绕过或修改身份验证流程。银河麒麟V10基于Linux内核，其用户密码信息通常存储在/etc/shadow文件中，该文件对root用户也是只读的。因此，所有重置方法都指向同一个目标：获得一个能修改/etc/shadow文件的shell环境。

2.1 密码存储与PAM框架

在银河麒麟V10中，root用户的加密密码哈希值就存放在/etc/shadow文件的第一个字段（root用户行）。系统登录时，输入的密码会经过同样的加密算法（如SHA-512）计算哈希值，并与存储的哈希值比对。这个验证过程由PAM（可插拔认证模块）框架管理。重置密码，要么直接编辑/etc/shadow文件（清空密码字段），要么就是绕过PAM的验证。

2.2 引导流程中的可干预点

系统的启动流程为我们提供了几个关键的干预窗口：

1. GRUB引导菜单：这是最经典、最通用的入口。在GRUB菜单界面，我们可以编辑内核启动参数，从而改变系统的初始化行为。
2. 单用户模式/救援模式：这本质上是通过向内核传递init=/bin/bash或single等参数，让系统直接跳过多用户登录，进入一个拥有root权限的shell。
3. 使用外部介质引导：通过银河麒麟V10的安装U盘或光盘启动，进入“救援模式”，将原系统的根分区挂载到救援环境中，然后直接“chroot”进去进行修改。

为什么银河麒麟V10可能需要特别注意？因为它作为国产化操作系统，在一些安全加固的版本或特定部署场景下，可能会启用GRUB密码保护、密封BIOS引导顺序，或者对/boot分区进行加密。这些安全措施会直接封堵上述部分方法，这也是我们后续需要分场景讨论的原因。

3. 场景一：拥有物理或虚拟控制台访问权限（标准流程）

这是最理想也是最常见的情况，你可以直接看到系统的GRUB引导菜单，并能进行键盘交互。该方法适用于本地物理机、虚拟机（VMware, VirtualBox, KVM）的控制台。

3.1 标准操作步骤详解

步骤1：中断GRUB引导，进入编辑模式重启系统，在出现银河麒麟V10的GRUB菜单时（通常会有倒计时），迅速按下键盘上的e键。如果错过，重启再来一次。某些服务器可能需要按ESC或F2等键，但e键是GRUB2的标准编辑键。

步骤2：定位并修改Linux内核启动参数进入编辑模式后，你会看到一个文本界面，找到以linux或linuxefi开头的那一行。这一行非常长，包含了内核镜像路径和一堆参数。你的任务是在这行参数的末尾（在quiet或splash参数之后，但要在可能存在的$vt_handoff之前）添加以下内容：

init=/bin/bash

或者，更推荐使用：

rd.break

注意：init=/bin/bash和rd.break是两种不同的机制。前者让内核直接执行bash，跳过大部分初始化；后者则是在initramfs（初始内存文件系统）阶段中断，进入一个调试shell。对于较新的银河麒麟V10（使用systemd和dracut），rd.break通常更可靠。

步骤3：以修改后的参数启动修改完成后，按下Ctrl+X或F10（根据GRUB版本不同）来使用这些编辑后的参数启动系统。

步骤4：重新挂载根文件系统为可读写系统会很快进入一个命令行提示符（#），此时的根文件系统/通常是以只读（ro）方式挂载的。我们必须将其重新挂载为可读写（rw），才能修改密码文件。

mount -o remount,rw /

如果系统提示/是/sysroot，这在rd.break模式下很常见，则需要执行：

mount -o remount,rw /sysroot

步骤5：修改root密码现在，可以使用passwd命令来修改root密码了。

passwd root

系统会提示你输入新的密码并确认。请务必输入一个足够强壮的密码。

步骤6：确保SELinux上下文正确（关键步骤！）这是很多教程会忽略，但会导致重启后无法登录的“大坑”。银河麒麟V10默认可能启用了SELinux（安全增强Linux）。我们直接修改/etc/shadow文件（passwd命令会修改它）后，其SELinux安全上下文可能不正确。在退出前，必须触发性地恢复上下文，否则重启后SELinux会阻止root登录。

touch /.autorelabel

这条命令会在根目录下创建一个空文件.autorelabel，系统在下一次启动时，检测到此文件，会自动重新标记整个文件系统的SELinux上下文。

步骤7：退出并重启执行退出并重启命令：

exec /sbin/init

或者

exit

然后系统会继续启动流程，并最终重启。重启后，使用你设置的新密码登录即可。

3.2 实战中的常见问题与排错

• 问题：按e没反应，GRUB菜单一闪而过。

  • 原因与解决：GRUB菜单隐藏或超时时间极短。在启动时狂按ESC或Shift键试试。如果长期需要，可以在进入系统后，编辑/etc/default/grub文件，将GRUB_TIMEOUT的值改为5或10，然后运行grub2-mkconfig -o /boot/grub2/grub.cfg更新配置。

• 问题：使用init=/bin/bash启动后，执行passwd提示“Authentication token manipulation error”。

  • 原因与解决：根文件系统仍然是只读的，或者/etc目录下的某些文件（如/etc/passwd,/etc/shadow）的权限/属性有问题。首先确保执行了mount -o remount,rw /。如果问题依旧，尝试先执行chattr -i /etc/passwd /etc/shadow解除文件的不可修改属性（如果存在），再执行passwd。

• 问题：新密码设置成功，但重启后依然无法登录。

  • 原因1（最常见）：忘记了执行touch /.autorelabel，SELinux导致认证失败。此时在GRUB菜单编辑启动参数，在行尾添加selinux=0来临时禁用SELinux，即可登录。登录后，务必执行restorecon -Rv /etc/shadow并重启，或者永久调整SELinux策略。
  • 原因2：系统使用了LDAP等外部认证，root账户被锁定。需要检查/etc/nsswitch.conf和PAM配置。

4. 场景二：通过安装介质进入救援模式

当你无法访问GRUB菜单（例如，GRUB本身损坏，或者服务器被配置为从网络引导，而你想进行本地干预），或者系统根本无法正常启动时，使用银河麒麟V10的安装U盘或光盘启动，进入“救援模式”是终极法宝。

4.1 制作启动盘与进入救援模式

1. 准备介质：从官方渠道下载银河麒麟V10的ISO镜像文件，使用Rufus、Ventoy或dd命令制作成可启动U盘。
2. 引导启动：将U盘插入目标服务器，从BIOS/UEFI设置中调整启动顺序，从U盘启动。
3. 选择救援选项：在安装程序引导界面，银河麒麟V10通常会有一个“故障排除”或“救援模式”的选项。选择它。
4. 挂载原系统：救援环境启动后，它会自动尝试查找并挂载你硬盘上的银河麒麟V10系统。通常会问你是否将根文件系统挂载到/mnt/sysimage。选择“继续”。

4.2 在救援环境中操作

此时，你的原系统根分区已经被挂载到了/mnt/sysimage。接下来的操作，相当于你“进入”了原系统。

1. 切换根环境：

   chroot /mnt/sysimage

   执行这条命令后，你的命令行提示符可能不会变，但当前工作根目录/已经变成了原系统的根分区。

2. 修改密码：

   passwd root

   输入并确认新密码。

3. 处理SELinux（同样重要！）：

   touch /.autorelabel

   注意，此时的/已经是原系统的根，所以这个文件会创建在原系统的根目录下。

4. 退出并重启：

   exit # 退出chroot环境 exit # 退出救援模式的shell，系统会重启

   重启时记得拔掉U盘，让系统从硬盘正常启动。

4.3 救援模式的优势与局限

优势：

• 几乎万能。只要硬盘没物理损坏，系统文件存在，就能操作。
• 不依赖原系统的GRUB和内核。
• 适合系统崩溃、引导丢失等更复杂的修复场景。

局限：

• 需要物理接触服务器或虚拟介质挂载能力。
• 需要准备与系统版本匹配的安装介质。

5. 场景三：无控制台访问的远程服务器（云主机/SSH唯一通道）

这是最棘手的情况。你只有SSH连接，而且忘记了root密码，其他非root用户也没有sudo权限。传统的GRUB编辑方法需要控制台。此时，你需要利用云服务商提供的特殊功能。

5.1 主流云平台解决方案

• 阿里云/腾讯云/华为云等：这些云平台都提供了“VNC连接”或“救援模式”功能。

  1. 登录云控制台，找到你的ECS实例。
  2. 强制重启实例，并在启动过程中，通过控制台提供的“VNC”连接登录。
  3. 此时，你相当于拥有了一个虚拟控制台，可以按照场景一的方法，在VNC界面中操作GRUB菜单。
  4. 关键点：云主机的VNC通常不传输某些功能键（如Ctrl+X）。你需要查看云平台文档，确认在VNC中编辑GRUB后，使用什么快捷键启动（常见的是按Ctrl+X或F10，有时平台会有屏幕按钮提示）。

• 使用云平台的“重置密码”功能：部分云平台（如阿里云）提供了官方的“重置实例密码”功能。这本质上是云平台后台帮你挂载系统盘到另一台救援机器上，修改密码文件后再挂回。这是最安全、最推荐的方式，因为它不涉及手动修改GRUB，对系统影响最小。

5.2 高风险警告：谨慎使用rd.initramfs技巧

网上流传一种通过编辑/boot/grub2/grub.cfg或/etc/default/grub，在内核参数中永久添加init=/bin/bash然后重启的方法。这种方法极其危险，强烈不推荐用于生产环境！

• 风险：任何能访问系统的人，重启后都能直接获得root shell，安全防线彻底洞开。
• 操作复杂：你需要一个具有写/boot权限的普通用户，这本身就不安全。
• 不可靠：一旦重启失败，系统可能无法启动。

对于远程服务器，首要且唯一推荐的途径是通过云服务商的控制台VNC或官方密码重置功能。

6. 进阶与防护：从密码重置到安全加固

成功重置密码只是“救火”。一个专业的运维人员更应该思考如何“防火”。

6.1 启用并记录GRUB引导密码

为了防止任何人物理接触服务器后都能通过GRUB编辑模式获得root权限，可以为GRUB菜单设置密码。

1. 生成加密的密码：

   grub2-mkpasswd-pbkdf2

   输入你想为GRUB设置的密码，会得到一串加密后的哈希。
2. 编辑/etc/grub.d/40_custom文件，添加：

   set superusers="root" password_pbkdf2 root <上一步得到的加密哈希>

3. 更新GRUB配置：

   grub2-mkconfig -o /boot/grub2/grub.cfg

   设置后，在GRUB菜单界面按e编辑时，会先要求输入GRUB密码。

6.2 使用sudo替代直接root登录

最佳实践是禁用root的SSH密码登录，并为一个普通用户（如adminuser）配置完整的sudo权限。

1. 添加sudo用户：

   useradd adminuser passwd adminuser usermod -aG wheel adminuser # 银河麒麟V10通常wheel组有sudo权限

2. 编辑/etc/sudoers或更好的是在/etc/sudoers.d/下创建文件，添加：

   adminuser ALL=(ALL) ALL

3. 禁用root SSH登录：编辑/etc/ssh/sshd_config，设置PermitRootLogin no，然后重启sshd服务。

6.3 建立密码管理与应急流程

• 密码保管：使用Bitwarden、1Password等密码管理器，安全存储root密码。
• 应急手册：将本文所述的操作步骤，结合公司具体的服务器型号、云平台类型，编写成内部的《应急密码重置手册》。
• 定期演练：在测试环境中，模拟忘记密码的场景，定期进行恢复演练，确保流程畅通，工具（如安装U盘）随时可用。

回到开头我们团队遇到的那个问题，最终的解决方案是：联系机房值班人员，请他们临时接上显示器和键盘，我们通过电话远程指导，采用了场景一的rd.break方法，在十分钟内完成了密码重置并恢复了服务。这次事件也促使我们完善了所有关键服务器的密码归档流程和应急访问预案。技术操作是冰冷的步骤，但将其融入稳定可靠的运维体系中，才是应对突发状况的真正底气。