CentOS云镜像默认密码是多少，首次登录怎么办？

在云计算的时代，从各大云服务商获取一台预装好操作系统的虚拟机（实例）已成为标准操作流程，CentOS作为一款备受青睐的企业级Linux发行版，其云镜像是众多开发者和系统管理员的首选，一个初次接触云服务器的用户常常会面临一个看似简单却至关重要的问题：这个全新的CentOS云镜像,它的登录密码是什么？

这个问题的答案，可能会让习惯于传统物理服务器或虚拟机安装方式的用户感到意外：现代、主流的CentOS云镜像通常没有预设的、统一的默认密码。 这并非疏忽，而是一种基于安全最佳实践的刻意设计，如果所有镜像都使用一个固定的默认密码（如“centos”或“123456”），那么一旦这个密码泄露，全球数以百万计的服务器都将面临巨大的安全风险,云平台采用了更为先进和安全的身份验证机制。

核心认证机制：SSH密钥对

取代传统密码登录的，是SSH密钥对认证，这是一种非对称加密技术，比单纯的密码验证要安全得多,其工作流程如下：

1. 生成密钥对：用户在自己的本地计算机上生成一对密钥，包括一个私钥和一个公钥，私钥由用户自己妥善保管，绝不可泄露；公钥则是可以公开的。
2. 上传公钥：在创建云服务器实例的过程中,云服务平台会要求用户选择或上传一个SSH公钥。
3. 注入公钥：实例启动时，云平台（通过一项名为cloud-init的自动化工具）会将用户提供的公钥自动注入到实例的/root/.ssh/authorized_keys或特定用户（如centos、ec2-user）的~/.ssh/authorized_keys文件中。
4. 私钥登录：用户完成实例创建后，即可使用本地保存的私钥通过SSH协议登录服务器,无需输入任何密码。

登录命令通常如下所示：

ssh -i /path/to/your/private_key.pem root@your_server_ip

这里的-i参数指定了你的私钥文件路径，root是登录用户（具体用户名因云平台而异，后文会详述），your_server_ip是你实例的公网IP地址。

幕后功臣：Cloud-init

cloud-init是几乎所有主流云镜像都内置的一个关键软件包，它在实例首次启动时运行，负责执行一系列初始化任务,包括但不限于：

• 设置主机名
• 配置网络
• 注入SSH密钥
• 创建初始用户
• 执行用户自定义的启动脚本

正是cloud-init的存在，使得云服务器能够实现“开箱即用”的无密码（密钥）登录体验,并具备高度的自动化配置能力。

主流云服务商的实践差异

虽然核心原理相通，但不同云服务商在具体实现上略有差异，尤其是在默认登录用户名上,了解这些差异可以避免在初次登录时遇到不必要的麻烦。

云服务商	默认登录用户名	备注
阿里云	root	创建实例时必须绑定密钥对。
腾讯云	root	与阿里云类似，强制使用密钥对进行初始登录。
华为云	root	同样遵循密钥对登录的安全标准。
AWS EC2	ec2-user	出于安全考虑，默认禁用root用户的直接SSH登录，需要先以ec2-user登录，再通过sudo su -切换到root。
Microsoft Azure	“	在创建时自定义用户名，不提供默认用户，同样强制要求绑定SSH公钥。

从上表可以看出，国内云厂商普遍保留了root用户的直接登录权限，而国际巨头AWS则采用了更严格的权限分离策略，无论哪种方式,核心都是依赖SSH密钥。

如何设置或使用密码登录？

尽管SSH密钥是推荐的最佳实践，但在某些特定场景下，用户可能仍然需要密码登录（某些旧版工具不支持密钥认证）,你可以通过以下步骤安全地设置密码：

1. 使用SSH密钥登录服务器。

2. 为当前用户或root用户设置一个新密码，使用passwd命令：

   # 为root用户设置密码
   sudo passwd root
   # 为当前用户（如ec2-user）设置密码
   passwd

3. （可选但强烈推荐）启用密码认证，编辑SSH配置文件/etc/ssh/sshd_config，找到PasswordAuthentication这一行，将其值改为yes：

   PasswordAuthentication yes

4. 重启SSH服务以使配置生效：

   sudo systemctl restart sshd

   或者

   sudo service sshd restart

安全警告：启用密码登录会降低服务器的安全性，密码可能被暴力破解，如果必须启用，请确保使用足够复杂的密码，并考虑配置防火墙规则（如使用fail2ban）来阻止恶意登录尝试，完成临时任务后，最好将PasswordAuthentication重新设置为no。

特殊情况与故障排除

• 非官方或老旧镜像：如果你使用的是非官方渠道或非常古老的CentOS云镜像，它们可能确实存在默认密码，如centos、root或为空，但这极不安全,应立即修改。
• 忘记密码：如果忘记了自行设置的密码，不要惊慌，各大云平台通常都提供“重置密码”或通过Web控制台（VNC）连接实例的功能,允许你在系统层面进行重置操作。

CentOS云镜像的“密码”问题，实际上是引导我们理解现代云计算安全模型的一个入口，拥抱SSH密钥对认证，不仅能解决登录问题,更是保障云上资产安全的第一步。

---

相关问答FAQs

Q1: 我在AWS上创建了一台CentOS实例，为什么我用ssh root@...命令登录总是失败？

A1: 这是因为AWS出于安全考虑，默认禁用了root用户通过SSH直接登录，你应该使用AWS为您创建的默认用户ec2-user进行登录，正确的命令是 ssh -i /path/to/your/key.pem ec2-user@your_instance_ip，登录成功后，如果你需要执行管理员命令，可以在命令前加上sudo，或者通过sudo su -命令切换到root用户环境，这是最小权限原则的体现，能有效减少因root账户泄露带来的风险。

Q2: 我已经通过SSH密钥登录了服务器，但我想完全禁用密码认证，只允许密钥登录，应该如何操作？

A2: 这是一个非常好的安全习惯，要实现这一点，你需要编辑SSH的守护进程配置文件，使用SSH密钥登录服务器，使用文本编辑器（如vi或nano）打开/etc/ssh/sshd_config文件，找到以下两行配置,并确保它们的状态如下：

# 确保密码认证被禁用
PasswordAuthentication no
# （可选）禁止root用户通过SSH登录，即使它有密钥
PermitRootLogin no

修改并保存文件后，重启SSH服务使配置生效：sudo systemctl restart sshd，完成这些步骤后，任何试图通过密码登录的行为都将被拒绝，只有持有对应私钥的用户才能成功访问你的服务器,从而极大地提升了安全性。