Linux虚拟机root密码忘记，如何无需重装系统重置密码？

Question

Linux虚拟机root密码遗忘是运维高频问题。无需重装系统，可通过单用户模式（Single User Mode）或GRUB引导修复：开机时在GRUB菜单按`e`编辑启动项，在`linux`行末尾添加`rd.break`（RHEL/CentOS 7+/Rocky 8+）或`init=/bin/bash`（部分旧版/Ubuntu），然后`Ctrl+X`启动。进入后重新挂载根文件系统为可读写（如`mount -o remount,rw /sysroot`），`chroot /sysroot`，执行`passwd root`重置密码，再`touch /.autorelabel`（SELinux启用时）并重启。注意：需具备VM控制台访问权限（如vSphere Web Client、VirtualBox GUI或KVM virt-manager），且虚拟机未启用全盘加密或TPM绑定。该方法安全、高效，10分钟内完成，是生产环境首选应急方案。

Answer 1

```html

一、现象层：Linux虚拟机root密码遗忘的典型表现

• SSH连接拒绝：执行ssh root@vm-ip提示Permission denied (publickey,password)；
• 控制台登录失败：在vSphere Web Client或VirtualBox GUI中输入正确密码仍返回Login incorrect；
• 无法执行特权操作：如sudo su -、systemctl reboot等均因认证失败中断；
• 日志线索缺失：/var/log/secure中无有效暴力尝试记录，排除爆破干扰，指向人为遗忘或交接遗漏。

二、机制层：单用户模式与GRUB引导修复的底层原理

现代Linux发行版（RHEL/CentOS/Rocky/AlmaLinux）采用systemd初始化系统，其启动流程由GRUB2控制。当添加rd.break参数时，内核在initramfs阶段（即根文件系统挂载前）主动中断，并将控制权移交至dracut shell——此时/sysroot仅以只读方式存在，尚未被switch_root切换为真正的根。而init=/bin/bash则绕过systemd，直接以bash作为PID 1进程启动，适用于Ubuntu 16.04–20.04等未完全迁移initramfs机制的版本。

三、操作层：分发行版的标准化恢复流程

发行版系列	GRUB编辑参数	关键挂载命令	SELinux处理
RHEL/CentOS 7+ / Rocky 8+	rd.break enforcing=0	mount -o remount,rw /sysroot	touch /.autorelabel
Ubuntu 18.04/20.04（非UEFI Secure Boot）	init=/bin/bash	mount -o remount,rw /	无需处理（默认禁用SELinux）

四、约束层：成功执行的前提条件与风险边界

1. 访问权限硬性要求：必须拥有虚拟机一级控制台访问能力（非SSH），例如vSphere Web Client的“打开控制台”、KVM的virt-manager图形界面或Proxmox VE的VNC终端；
2. 加密机制限制：若启用LUKS全盘加密（crypttab + rd.luks.uuid）或TPM绑定BitLocker（WSL2除外），rd.break将卡在解密提示，无法进入shell；
3. 安全策略兼容性：部分高安全加固环境禁用GRUB编辑（通过set superusers + password_pbkdf2），需提前配置GRUB口令白名单；
4. 文件系统一致性：若根分区处于ext4 journal异常状态，mount -o remount,rw可能报错，需先执行e2fsck -f /dev/sda2（根据lsblk确认设备名）。

五、演进层：从应急响应到自动化防御体系构建

graph TD A[Root密码遗忘事件] --> B{是否具备控制台权限？} B -->|是| C[执行rd.break/init=/bin/bash流程] B -->|否| D[触发IaC审计：检查Ansible Vault/HashiCorp Vault中密码快照] C --> E[重置后自动采集新密码哈希
（sha256sum /etc/shadow | cut -d: -f2）] E --> F[推送至CMDB并标记“last_password_reset_time”] F --> G[联动SIEM生成告警：
“Critical: Root credential rotation bypassed PAM audit”]

六、验证层：密码重置后的多维度回归测试清单

• ✅ 控制台本地登录：Ctrl+Alt+F2切换tty2，验证root新密码可交互式登录；
• ✅ SSH密钥+密码双因子：确认PubkeyAuthentication yes与PasswordAuthentication yes共存生效；
• ✅ SELinux上下文完整性：执行restorecon -Rv /etc/passwd /etc/shadow并比对ls -Z输出；
• ✅ systemd-journald服务连通性：重启后journalctl -b | grep "Started Login Service"应无failed条目；
• ✅ 审计规则持久化：检查auditctl -s | grep enabled返回enabled 1，确保PAM审计未被意外关闭。

```