忘记CentOS 7系统的root密码是一个常见但令人头疼的问题，幸运的是，只要您拥有对服务器的物理访问权限或通过KVM、VMware、VirtualBox等虚拟化平台获得的控制台访问权限，恢复密码是完全可行的，本文将详细介绍两种在CentOS 7中恢复root密码的可靠方法，并提供清晰的步骤说明和注意事项，帮助您安全、高效地解决问题。
进入单用户模式进行恢复
单用户模式是一种维护模式,系统在此模式下只启动最基本的服务，并以root权限运行一个shell，非常适合进行系统修复和密码重置。
步骤1：重启服务器并中断GRUB引导
重启您的CentOS 7服务器，在系统启动过程中，当看到GRUB2引导菜单时（通常是一个选择操作系统的界面），立即按下键盘上的 e 键，这个操作会进入该启动项的编辑界面，如果GRUB菜单没有出现，可能是因为超时时间设置得太短，您可以在重启时反复按e键或键来确保进入。
步骤2：编辑内核启动参数
进入编辑界面后,您会看到几行配置文本，使用方向键找到以 linux16 或 linuxefi 开头的行，这一行定义了内核加载时的参数，我们的目标是修改它，让系统以单用户模式启动。
找到该行中的 ro 参数（代表 read-only，即只读），将其修改为 rw（代表 read-write，即读写），在该行的末尾，添加一个空格，并输入 init=/bin/bash。
修改前可能类似：
linux16 /vmlinuz-3.10.0-... ro crashkernel=auto rhgb quiet修改后应类似：
linux16 /vmlinuz-3.10.0-... rw crashkernel=auto rhgb quiet init=/bin/bash步骤3：启动系统
完成参数修改后,按下 Ctrl + X 组合键，系统将使用您刚刚修改的参数进行引导，并直接进入一个只有root权限的bash shell，此时您已经处于单用户模式。
步骤4：重置root密码
在命令提示符下,直接输入 passwd 命令来修改root用户的密码，系统会提示您输入新的密码，并再次确认。
passwd
输入新密码并确认后,系统会提示 “password updated successfully”，表示密码修改成功。
步骤5：处理SELinux上下文（关键步骤）
CentOS 7默认启用了SELinux安全机制，直接在单用户模式下修改 /etc/shadow 文件会导致其SELinux安全上下文不正确，如果不修复，即使密码修改成功，您在正常重启后可能依然无法登录。
为了解决这个问题,需要创建一个特殊文件，让系统在下次启动时自动重新标记整个文件系统的SELinux上下文，执行以下命令：
touch /.autorelabel
这个命令会在根目录下创建一个名为 .autorelabel 的空文件，系统在下一次启动时检测到这个文件，就会执行一次完整的文件系统重新标记过程，这个过程可能会根据磁盘大小和文件数量花费几分钟到几十分钟不等，请耐心等待。
步骤6：重启系统
执行以下命令来重启服务器,使所有更改生效：
exec /sbin/init
或者使用强制重启命令：
reboot -f
系统重启后,您就可以使用新设置的root密码登录了。
使用 rd.break 进行恢复（推荐）
rd.break 是一种更现代、更可靠的方法，它会在系统切换到真实根文件系统之前中断启动过程，进入一个临时的 initramfs 环境，这种方法通常被认为比单用户模式更稳定。
步骤1和步骤2：与方法一相同
重启服务器,在GRUB菜单出现时按 e 键进入编辑界面。
步骤3：编辑内核启动参数
同样,找到以 linux16 或 linuxefi 开头的行，这次，我们不需要修改 ro 参数，只需在该行的末尾，添加一个空格并输入 rd.break。
修改前可能类似：
linux16 /vmlinuz-3.10.0-... ro crashkernel=auto rhgb quiet修改后应类似：
linux16 /vmlinuz-3.10.0-... ro crashkernel=auto rhgb quiet rd.break步骤4：启动系统并挂载文件系统
按下 Ctrl + X 组合键启动，系统会进入一个临时的 switch_root shell，在这个环境中，您真实的系统根目录被挂载在 /sysroot 下，并且是只读的。
需要将其重新挂载为读写模式：
mount -o remount,rw /sysroot
使用 chroot 命令将当前环境的根目录切换到您的真实系统：
chroot /sysroot
执行后,您会发现命令提示符发生了变化，这意味着您已经进入了真实的系统环境。
步骤5：重置root密码
与方法一相同,直接使用 passwd 命令修改密码：
passwd
根据提示输入并确认新密码。
步骤6：处理SELinux上下文
同样,这个关键步骤不可或缺，在 chroot 环境中执行：
touch /.autorelabel
步骤7：退出并重启
输入 exit 命令退出 chroot 环境，回到 switch_root shell。
exit
再次输入 exit 或 reboot 命令重启系统。
reboot
系统重启并完成SELinux重新标记后,即可使用新密码登录。
两种方法对比
| 特性 | 单用户模式 (init=/bin/bash) | rd.break |
|---|---|---|
| 工作原理 | 替换初始进程为bash shell | 在挂载真实根文件系统前中断启动 |
| 挂载点 | 直接就是真实根目录 | 真实根目录挂载在 /sysroot |
| 文件系统状态 | 需手动将 ro 改为 rw | 默认为只读，需用 mount 命令重新挂载 |
| 推荐度 | 传统方法，同样有效 | 更现代，流程更清晰，推荐使用 |
相关问答FAQs
问题1：我已经按照步骤修改了密码，但重启后依然无法登录，提示“Authentication failure”，这是为什么？
解答： 这几乎可以肯定是由于没有正确处理SELinux安全上下文导致的，当您在单用户或rd.break模式下修改/etc/shadow文件后，该文件的SELinux标签与系统预期不符，从而阻止了登录验证，解决方法就是在修改密码后、重启前，务必执行 touch /.autorelabel 命令，这个命令会告知系统在下次启动时对所有文件进行重新标记，恢复正确的SELinux上下文，虽然这个过程会延长启动时间，但它是确保能够成功登录的关键一步。
问题2：如果我只有SSH连接，没有物理或控制台访问权限，还能恢复密码吗？
解答： 不能，出于安全考虑，通过远程网络连接（如SSH）恢复root密码是不被允许的，如果存在这样的漏洞，任何能够短暂获得网络访问权限的攻击者都可以轻易接管整个系统，本文描述的方法都需要在系统启动的最初阶段进行干预，这必须通过物理接触服务器或使用虚拟化平台提供的控制台功能来实现，如果您使用的是云服务器（如阿里云、腾讯云、AWS等），通常这些平台会提供Web版的VNC控制台，您可以通过它来完成上述操作，如果您没有任何形式的控制台访问权限，唯一的途径是联系您的服务器提供商寻求技术支持。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
发表回复