作为系统管理员或开发者，掌握 root 密码管理是 Linux 系统运维的核心技能。本教程将深入探讨多种场景下的 root 密码修改方法、底层原理及最佳安全实践。
一、为何需要修改 Root 密码？
安全策略要求： 定期更换密码是基础安全措施。
人员变动： 管理员离职或权限调整。
密码泄露风险： 怀疑密码被第三方获取。
密码遗忘： 最紧急且常见的场景。
恢复系统控制： 当普通用户权限被误删时。
深入理解： Root 账户是 Linux 权限体系的“钥匙”，密码是保护它的第一道防线。频繁更换密码虽好，但密码强度和存储安全（如`/etc/shadow`的权限）更为关键。
二、修改前的关键准备
1. 权限确认：
当前用户需为 root 或拥有 sudo 权限（在`/etc/sudoers`中配置）。
执行 `sudo -l` 验证权限。
2. 终端环境：
物理控制台 > SSH 连接 > 远程桌面（优先级由高到低）。
强烈建议： 在本地控制台操作，避免网络中断导致故障。
3. 备份意识：
关键操作前备份 `/etc/shadow`：
`sudo cp /etc/shadow /etc/shadow.bak`
系统快照： 虚拟机或支持快照的环境务必先创建快照。
三、标准修改方法：已知当前 Root 密码
方法 1：passwd 命令（最直接）
bash
若已是 root 用户
passwd
若使用 sudo
sudo passwd root
系统提示输入新密码并确认。
密码复杂度建议： 长度 >12位，混合大小写字母、数字、特殊符号，避免常见词汇。
方法 2：修改 /etc/shadow（仅限高级用户）
使用 `vipw` 或 `vipw -s` 安全编辑文件。
不推荐手动编辑： 格式错误会导致所有用户无法登录。
深入原理：
`passwd` 命令通过 Linux-PAM (Pluggable Authentication Modules) 进行身份验证。
密码经加密（如 SHA-512）后存入 `/etc/shadow` 的第二个字段（`$6$...$...`）。
`/etc/shadow` 权限为 `-rw-r` (640)，仅 root 可读，确保安全。
四、救急场景：忘记 Root 密码
方法 1：单用户模式（Single-User Mode）
适用场景： 物理或虚拟化控制台访问。
步骤详解：
1. 重启系统： `sudo reboot` 或物理重启。
2. 中断启动流程：
启动时按住 `Shift` (GRUB 显示时) 或反复按 `Esc` (某些 BIOS)。
3. 编辑 GRUB 条目：
选择默认启动项，按 `e` 进入编辑模式。
4. 修改内核参数：
找到以 `linux` 或 `linux16`/`linuxefi` 开头的行。
在行尾添加 `init=/bin/bash` 或 `rd.break`（针对 systemd 系统）。
关键区别：
`init=/bin/bash`：直接启动到 root shell（无服务启动）。
`rd.break`（RHEL/CentOS/Fedora）：在 initramfs 阶段中断，需额外挂载步骤。
5. 启动修改后的配置： 按 `Ctrl+X` 或 `F10`。
6. 挂载文件系统（rd.break 时）：
bash
mount -o remount,rw /sysroot
chroot /sysroot
7. 修改密码： `passwd root`，输入新密码。
8. SELinux 重标记（如启用）： `touch /.autorelabel`。
9. 重启： `exec /sbin/init` 或直接 `reboot -f`。
方法 2：Recovery Mode（恢复模式）
适用场景： Ubuntu/Debian 等发行版专用选项。
1. 重启进入 GRUB，选择 `Advanced options` -> `recovery mode`。
2. 选择 `root Drop to root shell prompt`。
3. 执行 `mount -o remount,rw /` 使根目录可写。
4. `passwd root` 修改密码。
5. `reboot -f` 重启。
方法 3：Live CD/USB 救援
适用场景： 系统严重损坏或 GRUB 无法编辑。
1. 用 Ubuntu 等 Live 介质启动。
2. 打开终端，查找根分区：`sudo fdisk -l` 或 `lsblk`。
3. 挂载根分区：
bash
sudo mount /dev/sda1 /mnt 替换为实际分区
4. Chroot 到原系统：
bash
sudo mount bind /dev /mnt/dev
sudo mount bind /proc /mnt/proc
sudo mount bind /sys /mnt/sys
sudo chroot /mnt
5. `passwd root` 修改密码。
6. 退出并重启：
bash
exit
sudo umount -R /mnt
reboot
五、安全强化与风险规避建议
1. 禁用 Root 登录（SSH）：
编辑 `/etc/ssh/sshd_config`：
`PermitRootLogin no`
重启 SSH：`sudo systemctl restart sshd`
2. 使用 SSH 密钥替代密码：
更安全且便于自动化管理。
3. sudo 精细化授权：
通过 `visudo` 编辑 `/etc/sudoers`，严格限制普通用户的权限。
示例：`%admin ALL=(ALL) ALL`
4. 密码策略强制：
修改 `/etc/login.defs`：
`PASS_MAX_DAYS 90 PASS_MIN_DAYS 7 PASS_WARN_AGE 14`
使用 `libpam-pwquality` 设置复杂度：
`minlen=12 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1`
5. 审计与监控：
检查日志：`grep 'password' /var/log/auth.log`
使用 `auditd` 跟踪敏感操作（如 passwd 调用）。
6. 双因素认证（2FA）：
为 SSH 或登录管理器启用 Google Authenticator 等方案。
六、故障排除：密码修改失败怎么办？
1. 文件系统只读（Read-only Filesystem）：
单用户模式下务必执行 `mount -o remount,rw /`。
检查磁盘错误：`fsck -y /dev/sda1`。
2. passwd: Authentication token manipulation error：
文件系统仍为只读。
`/etc/shadow` 权限或属性异常（如 `chattr +i` 锁定）：
`lsattr /etc/shadow`；若有 `i` 属性，`chattr -i /etc/shadow`。
3. 密码修改后仍无法登录：
SELinux 上下文问题：重启时检查 `/` 目录下 `.autorelabel` 是否存在。
PAM 模块配置错误：检查 `/etc/pam.d/passwd` 和 `/etc/pam.d/system-auth`。
4. passwd: Module is unknown：
关键 PAM 模块缺失，需从 Live CD 修复或重装相关包。
七、深入理解：Linux 身份验证机制
Linux 使用分层认证架构：
1. 用户空间工具： `passwd`, `login`。
2. PAM 框架： 动态加载认证模块（`pam_unix.so`, `pam_cracklib.so`）。
3. NSS 模块： 通过 `/etc/nsswitch.conf` 决定用户信息源（`files`, `ldap`）。
4. 底层数据库： `/etc/passwd`（基本信息），`/etc/shadow`（加密密码及策略）。
密码加密演进：
DES（已淘汰）→ MD5 → Blowfish → SHA-256 → SHA-512（当前推荐）。
可通过 `authconfig test | grep hashing`（RHEL）或查看 `/etc/login.defs` 确认算法。
八、与最佳实践建议
| 场景 | 推荐方法 | 安全注意 |
| 已知密码 | `sudo passwd root` | 符合密码复杂度要求 |
| 物理服务器忘记密码 | 单用户模式 | 机房操作需授权，完成后审计日志 |
| 虚拟机忘记密码 | 单用户模式/Live CD | 优先使用虚拟机快照 |
| 云服务器忘记密码 | 云平台控制台重置功能 | 结合密钥登录，禁用密码 |
核心建议：
1. 最小权限原则： 日常操作避免使用 root，依赖 `sudo`。
2. 密码管理： 使用密码管理器生成并存储高强度密码。
3. 密钥认证： SSH 优先采用密钥对，彻底关闭密码登录。
4. 集中化管理： 大型环境使用 LDAP 或 FreeIPA 统一认证。
5. 定期演练： 每季度模拟一次密码恢复流程。
> 终极安全策略： 理想的 Linux 系统应做到 “Root 密码存在但几乎永不使用” —— 通过完善的 sudo 规则、SSH 密钥、审计日志和双因素认证，将 root 直接登录的需求降至最低。
通过掌握本文的技术细节与安全理念，你不仅能应对各类密码修改需求，更能从根本上提升 Linux 系统的安全水位。
