麒麟系统密码忘记如何重置？

Question

问题：在使用银河麒麟操作系统时，用户因遗忘登录密码无法进入系统，尝试多次输入错误密码后账户被锁定。由于未配置指纹或刷脸等其他认证方式，且未预留root用户SSH远程登录权限，导致无法通过常规手段重置密码。如何在无安装U盘的情况下，利用本地GRUB引导菜单进入单用户模式或恢复环境，修改用户密码并确保系统安全策略（如PAM、SELinux）不被破坏？此过程涉及哪些关键操作步骤与注意事项？

Answer 1

一、问题背景与系统特性分析

银河麒麟操作系统（Kylin OS）是基于Linux内核的国产化操作系统，广泛应用于政府、国防和关键基础设施领域。其安全机制深度集成PAM（Pluggable Authentication Modules）、SELinux以及账户锁定策略，以增强系统的访问控制能力。当用户遗忘登录密码并多次尝试失败后，账户会被PAM模块自动锁定，典型表现为：

• Authentication failure 提示连续出现
• 账户被faillock或pam_tally2机制锁定
• 无备用认证方式（如指纹、面部识别）可用
• 未开启root远程SSH登录，无法通过网络重置密码

在此类“完全本地锁定”场景下，唯一可行路径是利用GRUB引导加载器进入单用户模式（Single User Mode），获得root shell权限进行密码重置与安全策略修复。

二、GRUB引导阶段干预原理

GRUB（Grand Unified Bootloader）是银河麒麟默认使用的引导程序，支持在启动过程中编辑内核启动参数。通过修改linux行的启动选项，可绕过正常多用户初始化流程，直接进入维护环境。关键参数包括：

参数	作用说明
single	进入单用户模式，init执行级别为S
init=/bin/bash	跳过init系统，直接挂载根文件系统并启动bash
rw	以读写模式挂载根分区（默认常为ro）
selinux=0	临时禁用SELinux（不推荐长期使用）

正确组合这些参数可在不破坏系统完整性前提下实现密码重置。

三、操作步骤详解

1. 重启系统，在GRUB菜单出现时迅速按任意键中断自动启动
2. 选择默认启动项，按下e键进入编辑模式
3. 定位至以linux开头的行为内核命令行
4. 将该行末尾的ro quiet splash替换为：
   rw single init=/bin/bash
5. 按下<kbd>Ctrl+X</kbd>或<kbd>F10</kbd>启动修改后的配置
6. 系统将直接进入root shell，无需密码验证
7. 执行mount -o remount,rw /确保根文件系统可写（某些版本需手动重挂载）
8. 运行passwd username重置目标用户密码
9. 清除PAM账户锁定状态：
   faillock --user username --reset（适用于faillock机制）
10. 若存在SELinux上下文问题，执行：
    touch /.autorelabel && exit（仅在必要时使用）

四、安全策略兼容性处理

银河麒麟默认启用SELinux强制模式（Enforcing），直接修改用户凭证可能引发上下文不一致。应遵循以下原则：

# 检查当前SELinux状态
sestatus

# 查看用户家目录安全上下文
ls -Z /home/username

# 若发现context异常，使用restorecon修复
/sbin/restorecon -R /home/username

PAM模块配置位于/etc/pam.d/common-auth或login，需确认未设置过于激进的锁定策略，例如：

auth required pam_tally2.so deny=3 unlock_time=900 应调整为合理阈值。

五、恢复引导与后续加固建议

完成密码重置后，必须正确退出单用户环境，避免系统异常。推荐流程如下：

graph TD A[重启系统] --> B{是否能正常登录?} B -->|是| C[登录后执行 faillock --user username --reset] C --> D[配置备用认证方式：指纹/刷脸] D --> E[启用root SSH限制性登录: PermitRootLogin prohibit-password] E --> F[备份/etc/shadow与/etc/passwd] F --> G[记录本次事件至审计日志]

此外，建议建立标准化的运维响应预案，包含：

• 预设至少一个具备sudo权限的维护账户
• 定期导出加密shadow备份至离线介质
• 部署基于硬件令牌的双因素认证（2FA）
• 配置GRUB密码保护防止未授权引导修改

六、风险提示与最佳实践

尽管单用户模式提供了紧急恢复能力，但也带来显著安全风险：

风险点	缓解措施
物理访问即等同于系统控制权	启用BIOS/UEFI密码 + GRUB加密
SELinux上下文损坏导致服务无法启动	避免使用selinux=0，优先setenforce 0临时降级
密码重置后未清理登录失败记录	必须调用faillock --reset
误删关键配置文件	操作前备份/etc/{passwd,shadow,group,pam.d}

最终目标是在恢复访问的同时，维持银河麒麟操作系统原有的高等级安全合规性。