银河麒麟系统忘记开机密码如何重置？

Question

问题：在银河麒麟操作系统中，若用户忘记开机登录密码，无法进入系统桌面，常规的密码提示功能又未提前设置，该如何通过本地账户重置或系统恢复手段找回访问权限？特别是在单用户模式或GRUB引导界面下，如何正确操作以root身份修改用户密码，同时避免因操作不当导致系统启动异常或数据丢失？

Answer 1

一、背景与问题定义

在银河麒麟操作系统（Kylin OS）环境中，用户常因忘记登录密码而无法进入系统桌面。由于该系统基于Linux内核并广泛应用于国产化替代场景，其安全机制较为严格，若未提前配置密码提示或启用指纹/密钥认证等辅助手段，常规的图形界面重置方式将失效。

此时，需依赖底层引导机制如GRUB（Grand Unified Bootloader）进入单用户模式（Single User Mode），以获取root权限直接修改用户账户密码。然而，操作不当可能导致系统无法启动、文件系统损坏或数据丢失。

二、技术路径概览

1. 确认系统版本及GRUB可编辑状态
2. 中断正常启动流程进入GRUB编辑模式
3. 修改内核启动参数进入单用户模式
4. 挂载根文件系统为可写模式
5. 使用passwd命令重置目标用户密码
6. 验证修改并重启系统
7. 后续安全加固建议

三、详细操作步骤

步骤	操作内容	关键命令/说明
1	开机时按下或键触发GRUB菜单显示	部分UEFI机型需长按Shift；若隐藏菜单，需断电后快速启动多次触发
2	选择默认启动项，按'e'进入编辑模式	不可直接回车，否则跳过干预时机
3	定位到以“linux”开头的行，末尾添加以下参数之一： • single • init=/bin/bash • rw init=/sysroot/bin/sh（针对SELinux环境）	推荐使用rw single确保读写权限和单用户上下文
4	按或启动修改后的配置	系统将绕过多用户服务，直接进入shell
5	检查根分区挂载状态： mount | grep root	若只读，执行：mount -o remount,rw /
6	重置用户密码： passwd username （替换username为实际账户名）	输入新密码两次；注意无回显属正常现象
7	同步数据并重启： sync; reboot -f	避免缓存未写入导致文件系统异常

四、风险控制与最佳实践

• 防止误操作：在GRUB编辑阶段切勿删除原有参数，仅追加必要字段。
• SELinux上下文处理：对于启用了SELinux的银河麒麟版本，应使用rw init=/sysroot/bin/sh，并在chroot前执行：

  mount --bind /dev /sysroot/dev
  mount --bind /proc /sysroot/proc
  mount --bind /sys /sysroot/sys
  chroot /sysroot
  

• 备份关键配置：重置前可导出/etc/shadow副本至U盘：cp /etc/shadow /mnt/usb/backup_shadow
• 审计日志记录：操作完成后应在/var/log/auth.log中核查su、login事件，确保无异常痕迹残留。

五、自动化恢复方案设计（进阶）

针对大规模部署场景，可构建定制化恢复U盘，集成如下功能模块：

#!/bin/bash
# recover_kylin.sh - 自动化密码重置脚本示例
if [ $(id -u) -ne 0 ]; then
    echo "请在单用户模式下以root运行"
    exit 1
fi

target_user=$(grep '/home' /etc/passwd | cut -d: -f1 | head -n1)
echo "检测到主用户：$target_user"

read -s -p "输入新密码：" new_pass; echo
echo "$target_user:$new_pass" | chpasswd

sed -i 's/^PasswordAuthentication no/PasswordAuthentication yes/' /etc/ssh/sshd_config
systemctl enable sshd &>/dev/null

echo "密码已重置，SSH已启用"
    

六、故障排查流程图

graph TD
            A[无法登录系统] --> B{能否进入GRUB?}
            B -->|是| C[编辑启动项添加single]
            B -->|否| D[尝试UEFI启动修复工具]
            C --> E[进入单用户shell]
            E --> F{根分区是否可写?}
            F -->|否| G[执行mount -o remount,rw /]
            F -->|是| H[运行passwd命令]
            H --> I[sync && reboot]
            I --> J[验证登录]
            D --> K[使用Live CD挂载原系统]
            K --> L[chroot后修改/etc/shadow]