麒麟系统密码环已上锁，如何解锁并恢复登录？

Question

问题描述： 在使用银河麒麟操作系统时，用户登录界面提示“密码环已上锁”（Password Vault Locked），导致无法正常登录系统。该问题常出现在多次输入错误密码、系统更新后或启用生物识别认证的场景下。用户即使确认输入正确密码，仍无法解锁桌面环境。此状况可能由密钥环服务（如KWallet或GNOME Keyring）损坏、用户配置文件异常或PAM认证模块配置错误引起。如何通过本地终端或恢复模式重置密钥环、清除缓存凭证或重建用户密钥环数据库，以实现系统登录恢复？

Answer 1

银河麒麟系统“密码环已上锁”问题深度解析与解决方案

1. 问题现象与初步诊断

用户在登录银河麒麟操作系统时，界面提示“密码环已上锁（Password Vault Locked）”，即便输入正确账户密码也无法进入桌面环境。该问题通常出现在以下场景：

• 连续多次输入错误密码后触发安全机制
• 系统升级或内核更新后密钥环服务未兼容迁移
• 启用了指纹、面部识别等生物认证模块后配置异常
• GNOME Keyring 或 KWallet 组件损坏或权限错乱

此状态下，PAM（Pluggable Authentication Modules）可能成功验证用户身份，但密钥环守护进程拒绝解锁凭证存储，导致会话初始化失败。

2. 核心组件分析：密钥环服务架构

银河麒麟基于Linux内核，采用GNOME桌面环境，默认使用 GNOME Keyring 作为用户凭据管理服务。其核心组成包括：

组件名称	功能描述	默认路径
gnome-keyring-daemon	主守护进程，管理加密密钥和密码	/usr/bin/gnome-keyring-daemon
login.keyring	用户登录密钥环数据库文件	~/.local/share/keyrings/login.keyring
PAM模块 (pam_gnome_keyring.so)	在登录阶段自动解锁密钥环	/lib/security/pam_gnome_keyring.so
Secret Service API	D-Bus接口供应用访问密钥环	org.freedesktop.secrets

3. 故障排查流程图

    graph TD
        A[用户无法登录, 提示“密码环已上锁”] --> B{能否进入TTY终端?}
        B -- 能 --> C[切换至TTY: Ctrl+Alt+F2]
        B -- 不能 --> D[使用Live CD/USB启动并挂载原系统]
        C --> E[检查 ~/.local/share/keyrings/ 目录]
        E --> F{是否存在 corrupted keyring 文件?}
        F -- 是 --> G[备份并删除 login.keyring]
        F -- 否 --> H[检查 PAM 配置文件]
        G --> I[重启图形会话]
        H --> J[/etc/pam.d/gdm-password 是否包含 pam_gnome_keyring 模块?]
        J -- 缺失 --> K[修复PAM配置]
        J -- 正常 --> L[重建用户密钥环]
    

4. 解决方案层级递进

4.1 方法一：通过本地TTY终端重置密钥环

若可切换至虚拟终端（TTY），执行以下命令：

# 切换到用户环境
sudo su - username

# 备份原始密钥环目录
mv ~/.local/share/keyrings ~/.local/share/keyrings.bak

# 重建空密钥环目录
mkdir ~/.local/share/keyrings

# 设置正确权限
chmod 700 ~/.local/share/keyrings

# 退出并返回图形登录界面
exit

4.2 方法二：从恢复模式修复PAM与密钥环关联

在GRUB菜单选择“恢复模式”进入root shell，执行：

mount -o remount,rw /
apt-get install --reinstall gnome-keyring libpam-gnome-keyring
grep -q "pam_gnome_keyring.so" /etc/pam.d/gdm-password || echo "auth optional pam_gnome_keyring.so" >> /etc/pam.d/gdm-password
update-initramfs -u

4.3 方法三：脚本化自动化检测与修复

编写诊断脚本以批量处理企业环境中类似问题：

#!/bin/bash
USER_HOME="/home/$1"
KEYRINGS="$USER_HOME/.local/share/keyrings"
if [ -d "$KEYRINGS" ]; then
corrupt=$(find "$KEYRINGS" -name "*.keyring" -size 0 -o ! -readable)
if [ -n "$corrupt" ]; then
mv "$KEYRINGS" "$KEYRINGS.corrupted.bak"
mkdir -m 700 "$KEYRINGS"
chown $1:$1 "$KEYRINGS"
echo "Fixed keyring for user $1"
fi
fi


5. 高级调试手段

对于资深工程师，可通过日志追踪完整认证链：

• 查看认证日志：journalctl -u gdm -f
• 监听D-Bus通信：dbus-monitor --session "interface='org.gnome.Keyring'"
• 手动启动密钥环测试：gnome-keyring-daemon --replace --unlock < password_input
• 检查SELinux/AppArmor是否阻止访问：ausearch -m avc -ts recent

结合strace跟踪文件操作：strace -e trace=openat gnome-keyring-daemon --test 可定位具体打开失败的资源。