作为一个常年跟 Linux 服务器打交道的运维我可以很负责任地说一句密码管理没什么高深技术但它就是最容易在关键时刻给你“上一课”的环节。尤其是 CentOS作为服务器领域占有率极高的发行版root 密码忘了、普通用户密码过期、批量改密、SSH 被拒这类问题几乎每个用过它的人都会撞上至少一次。这篇东西不是给你抄命令就完事的我会把“为什么”也讲清楚。比如为什么忘记 root 密码要进单用户模式、为什么改完密码要处理 SELinux、为什么 wheel 组能限制 sudo、为什么 passwd 和 chpasswd 在批量场景下差异巨大。你把这套逻辑理顺了以后不管碰到 CentOS 7 还是 Stream 9思路都不会乱。1. 动手之前的准备CentOS密码机制与策略设计1.1 密码存哪里、用什么算法、怎么校验先说最基础的事CentOS 的用户密码到底存在哪。所有本地用户的密码哈希都存在/etc/shadow文件里普通用户没有读取权限只有 root 能看。这个文件里每个用户一行字段用冒号分隔其中第二个字段就是密码哈希。# 查看shadow文件中root行 [rootlocalhost ~]# head -1 /etc/shadow root:$6$rL3Y8XeK$abc123...:18500:0:99999:7:::看到$6$开头的哈希说明用的是 SHA-512 算法这是 CentOS 7 及之前版本的默认选择。到了 CentOS 8/9默认哈希算法换成了 yescrypt对应 shadow 里是$y$前缀。这点在做密码迁移或者跨版本比对时要注意老版本系统不识别新哈希格式。校验过程也不复杂你输入密码系统会用同样的算法加盐生成哈希然后和 shadow 里的值比对。这也是为什么即使你有 shadow 文件想要逆向出明文密码也几乎不可能但可以通过弱口令字典去碰撞所以服务器上千万别设弱密码。1.2 先设计密码策略再动手复杂度、有效期与防爆破很多人改密码是临时起意改完就走结果过两个月又忘了。我个人的建议是动手之前先想清楚自己的密码策略至少包含三块内容复杂度要求、有效期轮换、防爆破机制。复杂度方面CentOS 默认通过 PAM 模块pam_pwquality.so来控制配置文件在/etc/security/pwquality.conf。常见参数包括minlen最小长度、dcredit数字字符要求、ucredit大写字母个数、lcredit小写字母个数、ocredit特殊符号个数。生产环境我一般建议至少 12 位以上混合大小写加数字特殊符号看情况。有效期方面核心有两个文件/etc/login.defs控制默认值chage命令可以针对单个用户做精细调整。比如设置 90 天强制更换一次老密码不能马上重复使用这在高安全要求的业务环境里很有必要。防爆破方面CentOS 7 之后推荐用fail2ban来封禁暴力破解 IP同时在/etc/ssh/sshd_config里把PasswordAuthentication改成yes的情况下一定要配合MaxAuthTries限制尝试次数。密码策略这东西临时抱佛脚没用提前配好才能省心。2. root密码忘记后的重置单用户模式全流程root 密码忘了这件事大部分运维都经历过关键是别慌也别一上来就重装系统。CentOS 的单用户模式就是干这个用的。下面我分两种方式来讲核心操作都在 GRUB 启动菜单上。2.1 方法一rd.break方式适用于CentOS 7/8这种方式最常用原理是在系统切换到真正根文件系统之前通过给内核传参rd.break强制中断 initramfs 流程进入一个临时 shell此时根文件系统挂载在/sysroot下而且是只读的。我们就是要在这一步把密码重置掉。完整步骤重启系统看到 GRUB 启动菜单时光标停在默认内核那一行按e进入编辑模式。找到linux16或linux开头的那一行用方向键移动到行尾。在行尾加一个空格然后输入rd.break。按Ctrlx启动系统会进入一个switch_root:/#的提示符。重新挂载根目录为可写mount -o remount,rw /sysroot切换到真实根环境chroot /sysroot重置 root 密码passwd root如果系统启用了 SELinux务必执行下面这步否则重启后可能会因为安全上下文错乱导致登录异常touch /.autorelabel连续输入两次exit系统会自动重启。注意rd.break这种方式在 CentOS 7/8 上实测很稳CentOS Stream 9 也兼容。如果是 UEFI 引导的机器操作界面会有些差异但找linux行加参数这个逻辑是通用的。2.2 方法二init/bin/bash 直接进shell如果你觉得rd.break和 chroot 太绕还有更直接的办法给内核传init/bin/bash参数让系统跳过 init 流程直接进入一个 bash shell而且此时根文件系统是原始挂载状态。操作步骤重启进入 GRUB 编辑界面步骤同上。在linux16行先把行内的ro改成rw这样根文件系统挂载就是可写的。在行尾追加init/bin/bash。按Ctrlx启动会直接进入 bash 提示符。直接执行passwd root同样地执行touch /.autorelabel。直接 reboot 重启或者按CtrlAltDelete。这个方法比rd.break少打几条命令但有一点要注意因为没有正常执行 systemd 的初始化流程部分硬件驱动和服务可能没有加载如果服务器上有特殊的加密磁盘或者需要网络解锁的 LUKS 分区这种方式可能会卡住。遇到这种情况老老实实回退到方法一。2.3 为什么单用户模式能改密码原理与风险这两个方法本质上是同一件事在系统完全启动之前抢到一个 root shell。正常情况下 Linux 的多用户环境受 PAM、selinux、audit 等机制管控密码修改必须经过完整认证流程。但在单用户模式下系统还没进入多用户状态没有其他用户会话也没有网络服务在跑自然就绕过了身份认证这一个环节。这也带来了一个安全隐患只要有人能物理接触到服务器并且能在 GRUB 菜单停留时按钮操作他就等于拿到了 root 权限。所以生产环境的服务器我强烈建议给 GRUB 设置密码保护方法是执行grub2-setpassword这样进入编辑模式必须要先通过认证能挡住一大波物理接触层面的风险。3. 普通用户密码修改单条命令到批量管理root 密码搞定后再来看普通用户。实际工作中普通用户的密码管理比 root 更频繁因为涉及的人多、场景杂。改一个用户的密码很简单难的是批量操作和策略控制。3.1 passwd命令的三种典型玩法passwd命令看起来简单但不同身份执行时行为是不一样的。按场景分三种第一种root 给指定用户改密码passwd username执行后按提示输入两次新密码即可。root 修改别人的密码不需要知道这个用户的旧密码这是 root 权限的体现。第二种用户自己改自己的密码passwd普通用户执行不带参数的passwd时系统会先要求输入当前密码验证无误才能设置新密码。这样做是为了防止别人趁你离开时盗改。这里有个细节普通用户设置的新密码如果和旧密码相同在默认 PAM 配置下是会被拒绝的。第三种直接修改 root 密码passwd root这个逻辑跟第一种一样只是目标是 root 自己。在单用户模式里我们用的就是这条命令。还有一个经常被忽略的点passwd -S username可以查看用户密码状态包括是否有密码、算法类型、最后修改时间等。排查问题时非常有用。3.2 批量改密stdin与chpasswd的实战用法服务器上有几十个临时账号要全部重置密码用交互式passwd一个个敲太折磨人了而且容易出错。此时推荐两个非交互式方案。方案一使用--stdin参数echo NewPass123 | passwd --stdin username这是 CentOS 上很常用的技巧一条命令搞定适合脚本循环。但要注意这种方式在终端历史记录里会留下明文密码建议在脚本里用完立即清理或者通过变量传递别直接裸奔在命令行上。方案二使用chpasswdecho username:NewPass123 | chpasswdchpasswd天生就是为批量设计的它按用户名:密码的格式逐行读取。如果有多个用户直接准备一个文件格式如下user1:Passw0rd1 user2:Passw0rd2 user3:Passw0rd3然后执行chpasswd userlist.txt这里有个细节chpasswd在某些发行版上默认会读取经过加密的密码-e参数控制但 CentOS 默认读取明文。批量修改完成后建议抽查几个用户用passwd -S或chage -l确认状态正常。3.3 chage管理有效期强制用户定期换密码密码改完只是开始怎么让密码生命周期可控才是重点。chage命令就是干这个的。查看用户的密码过期信息chage -l username输出里会显示最后修改日期、密码过期时间、失效时间等等。如果你想强制某个用户下次登录时必须改密码一条命令就够chage -d 0 username-d 0的意思是将密码最后修改日期设为 0也就是 1970 年 1 月 1 日系统会认为密码已过期下次登录时强制要求更改。这是新建账号时非常推荐的做法管理员设置初始密码用户首次登录必须换成自己的密码。常用的chage参数我整理了一张表参数作用示例-M设置密码最大有效期天chage -M 90 username-m设置两次改密最小间隔chage -m 7 username-W密码过期前多少天开始警告chage -W 7 username-I密码过期后多少天锁定账号chage -I 5 username-E账号到期日期chage -E 2026-12-31 username-d强制下次登录改密chage -d 0 username配合/etc/login.defs中的默认值策略整个体系就完整了。4. 密码管理进阶root权限、SSH登录与锁定密码本身只是认证的一部分真正容易出问题的是密码和权限管理、远程登录如何配合。这一节我讲三个进阶场景每一个都是生产环境里的高频问题。4.1 wheel组与visudo最小化root权限的最佳实践很多人建了普通用户就直接usermod -aG wheel username加到 wheel 组但到底 wheel 组是干嘛的未必说得清。简单说CentOS 的sudo默认配置中只有 wheel 组的成员才能使用sudo su -切换到 root或者以 root 身份执行命令。实际上/etc/sudoers文件里有这么一行%wheel ALL(ALL) ALL意思是 wheel 组的所有成员可以在任何主机上以任何用户身份执行任何命令。这也是为什么规范的做法是日常操作用普通用户需要 root 权限时通过sudo临时提权而不是直接登录 root。修改 sudoers 文件一定要用visudo命令不要直接拿 vim 编辑。visudo的好处是保存时会做语法检查语法不对会提示错误避免你写坏文件导致所有用户都无法 sudo。这里有个常见的需求只允许 wheel 组成员通过 SSH 登录服务器其它用户一律禁止。可以通过修改/etc/ssh/sshd_config加一行实现AllowGroups wheel改完记得systemctl restart sshd。我在很多客户的机器上见过反面教材allow 组写错了或者 sshd 配置改完没检查语法直接重启失败管理员把自己关在外面。所以修改 sshd 之前务必先执行sshd -t测试语法。4.2 限制SSH远程登录PermitRootLogin与密钥认证关于 SSH 登录最经典的问题有两个一个是要不要允许 root 直接 SSH 登录另一个是怎么让密码登录和密钥登录和谐共存。CentOS 7 默认的sshd_config里PermitRootLogin是yes意味着 root 可以直接远程登录。从安全角度讲这不是一个好习惯因为 root 用户名是公开的爆破只需猜密码。更稳妥的做法是把它改成prohibit-password意思是允许 root 通过密钥登录但不允许密码登录。PermitRootLogin prohibit-password这个配置在实际使用中非常顺手平时管理员用密钥以 root 身份登录方便又安全密码破解这条路直接被堵死。但要注意如果你把PasswordAuthentication也改成no那么所有人都不允许密码登录只认密钥。这对于只通过密钥管理的服务器来说是正确的但如果密钥丢失你又没开其它应急通道就只能物理机登录了。我建议改这个配置之前先确认自己有一条应急路径比如能进单用户模式或者云服务商控制台有 VNC 入口。4.3 锁定与解锁passwd -l、usermod -L的正确姿势离职员工、异常账号、疑似被黑的账户第一时间要做的是锁定而不是删除。删了以后日志和审计记录都没了不利于排查问题。CentOS 里锁定账号有几种方法效果略有差别。第一种passwd -l usernamepasswd -l username这个命令本质是在 shadow 文件的密码哈希前加一个!前缀让任何密码都无法匹配。解锁用passwd -u username。第二种usermod -L username和usermod -U usernameusermod -L username效果和passwd -l类似也是给密码哈希加锁。第三种直接修改chage -E 0 username让账号立即过期。这种方式的好处是可以指定一个明确的过期日期审计时一目了然。我用passwd -l和usermod -L比较多两者在 CentOS 上行为几乎一致。但有个细节值得注意锁定密码不等于锁定 SSH 密钥登录。如果这个用户配置了 SSH 密钥passwd -l并不能阻止他通过密钥登录。想要彻底禁用账号所有登录方式更靠谱的做法是把用户的 shell 改成/sbin/nologinusermod -s /sbin/nologin username这样即使密钥对得上也无法获得交互式 shell。这个方法在临时封禁账号时特别好用而且解除也简单把 shell 改回/bin/bash即可。5. 常见故障排查与避坑记录5.1 密码明明对却登不进去的几种经典原因我在实际运维中遇到最多的一个诡异场景是用户信誓旦旦说密码没错但就是登录不上。排查这类问题别急着重置密码先按下面几步走。第一步确认是不是键盘布局问题。服务器上如果设置了非常规布局或者用的终端工具把密码里的特殊字符转换了就会出现“我输的明明没错”的错觉。最简单的方法是在登录界面先用普通账号登录试试如果普通账号也失败大概率不是密码本身的问题。第二步检查账号是否被锁定。执行passwd -S username如果输出里显示L说明账号被锁了按前面讲的方法解锁即可。第三步看日志。CentOS 的认证日志在/var/log/secure把这个文件翻出来看grep -i failed\|invalid\|authentication /var/log/secure | tail -20如果你看到类似User root not allowed because not listed in AllowGroups说明是 SSH 的AllowGroups配置把用户拒之门外这时候再怎么输密码都没用。还有一种非常隐蔽的情况/etc/shadow文件权限或内容异常。比如意外改坏了 shadow 文件、密码字段被截断、行尾多了空格等。遇到这种问题用pwck命令检查用户文件一致性能帮你发现很多隐患。5.2 改完密码SSH还是登不上问题可能出在SELinux很多人重置密码后在本地能登录但 SSH 远程就是不行第一反应是密码没改成功。其实还有很多隐藏因素最常见的就是 SELinux。CentOS 7 默认 SELinux 是 Enforcing 模式如果之前系统因为某些原因导致 SSH 相关的安全上下文错乱或者/etc/shadow文件的安全上下文不对SSH 登录时就会静默失败。解决办法有两种第一种暂时关闭 SELinux 测试setenforce 0如果关闭后 SSH 正常了说明就是 SELinux 的问题。第二种彻底修复上下文restorecon -Rv /etc /home /root这会把/etc、/home、/root下的文件安全上下文恢复到默认值。注意执行 restorecon 之前最好确认一下相关目录没有你手动设置过特殊上下文否则会被重置掉。另外改密后如果执行了touch /.autorelabel系统会在下次启动时自动重建整个文件系统的安全上下文。这个过程在大分区上可能比较久别以为是卡死了耐心等它跑完。这也是很多人在单用户模式改完密码后重启等了好几分钟原因所在。5.3 密码策略配置文件速查与修改注意点最后分享一份配置文件速查清单都是我自己常用的建议收藏文件/命令作用备注/etc/passwd用户基本账户信息密码字段显示为 x/etc/shadow密码哈希和过期策略仅 root 可读写/etc/login.defs默认密码策略生命周期、UID 范围等/etc/security/pwquality.conf密码复杂度规则PAM 调用/etc/pam.d/system-auth系统认证总配置谨慎修改写错会导致无法登录/etc/sudoerssudo 权限必须用 visudo 修改/etc/ssh/sshd_configSSH 登录方式修改前先 sshd -t这里我要特别提醒一点/etc/pam.d/system-auth这个文件牵一发动全身如果配错了规则比如把pam_pwquality.so的参数写错可能会导致所有用户修改密码时报错甚至正常登录都会受影响。修改这个文件之前一定要先备份并且开一个新 SSH 会话测试正常后再关掉旧会话。实际操作中我见过太多同事改完 PAM 配置然后把自己锁在外的例子这条命是备份救回来的。还有一个小细节如果你在/etc/login.defs里调整了PASS_MAX_DAYS、PASS_MIN_DAYS这个只对新建用户生效已经存在的用户不会自动更新。想批量应用到所有现有用户可以配合脚本遍历/etc/shadow后逐条chage或者直接用chage -M 90 username手动指定。我在实际工作中发现密码管理这一块很少是因为技术门槛把人难住更多的是没有一个清晰的流程。你告诉我密码忘了先看 lock 再查日志再试单用户模式你说要批量重置几十个账号的密码chpasswd 加一个文件搞定你说要防别人暴力破解root先把 PermitRootLogin 改成 prohibit-password再把 AllowGroups 限定到 wheel。这套组合拳打下来绝大多数密码相关的问题都能控制在十分钟以内解决。最后再分享一个小技巧每次改完关键密码建议立刻在/root下生成一份加密备份比如用 gpg 加密后存到离线位置。万一哪天服务器硬盘挂了或者某个人手滑把 /etc/shadow 弄坏了你有备份就能快速恢复不用从零开始重建整个用户体系。密码管理这件事说白了就是平时做好策略应急时冷静按流程走大部分坑都能提前绕开。