CentOS服务器root密码忘了，如何进入单用户模式重置？

忘记CentOS系统的root密码是许多系统管理员都可能遇到的棘手问题,当您无法以最高权限登录系统时，许多管理和维护工作都将陷入停滞，幸运的是，CentOS提供了一种安全可靠的方法来重置root密码，该过程无需重新安装系统，也无需借助任何第三方工具，本文将详细介绍如何通过进入单用户模式或应急模式来重置CentOS 7/8的root密码，整个过程逻辑清晰，操作严谨。

核心原理简介

重置root密码的核心原理在于中断正常的系统启动流程,CentOS使用GRUB（GRand Unified Bootloader）作为其引导加载程序，在系统启动的最初阶段，GRUB会加载内核（kernel）和初始内存盘（initramfs），通过修改GRUB的启动参数，我们可以指示内核在启动后不进入完整的多用户模式，而是进入一个功能受限的“单用户模式”或“应急模式”，在这个模式下，系统会以root权限运行，且不会要求输入密码，从而为我们提供了一个重置密码的“后门”。

操作步骤详解

以下步骤以CentOS 7/8为例，它们是当前主流的版本，对于更早的版本（如CentOS 6），部分细节略有不同。

1. 重启服务器
   您需要拥有对服务器的物理控制台访问权限或通过KVM、iDRAC、iLO等远程管理工具访问，通过SSH是无法完成此操作的，重启您的CentOS服务器。

2. 中断GRUB引导菜单
   在服务器启动过程中，当看到GRUB引导菜单时（通常显示CentOS的内核版本选项），立即按下键盘上的 e 键，这将进入该引导项的编辑界面，如果您的系统只有一个启动项且没有显示菜单，可能需要在开机时反复按 e 键或 ESC 键来强制显示菜单。

3. 编辑内核启动参数
   在编辑界面中，您会看到几行配置信息，使用方向键找到以 linux、linux16 或 linuxefi 开头的行，这一行定义了内核文件及其启动参数，您需要做的修改如下：

   • 找到 ro 参数（代表 read-only，即只读挂载根文件系统）。
   • 将 ro 修改为 rw（代表 read-write，即读写挂载）。
   • 在该行的末尾,添加一个空格，然后输入 rd.break。

   修改后的这一行看起来可能像这样（部分内容会因您的系统而异）：
   linuxefi /vmlinuz-4.18.0-240.el8.x86_64 root=/dev/mapper/centos-root rw rd.break

4. 启动进入应急模式
   完成修改后，按下 Ctrl + X 组合键，系统将使用您刚刚修改的参数启动，并会暂停在一个临时的应急模式环境下，您将看到一个类似 switch_root:/# 的命令提示符。

   

5. 挂载并切换到真实系统环境
   在此应急模式下，您真实的系统根目录被挂载在 /sysroot 目录下，并且是只读的，我们需要将其重新挂载为读写模式，然后切换到该环境中。

   • 输入以下命令重新挂载：

     mount -o remount,rw /sysroot

   • 输入以下命令,将当前环境切换到您真实的系统根目录：

     chroot /sysroot

     执行后,您会发现命令提示符变为 sh-4.2# 或类似形式，这表示您已经进入了真实的系统环境。

6. 重置root密码
   您可以直接使用 passwd 命令来修改root密码了。

   passwd root

   系统会提示您输入新的root密码,并再次确认，请确保输入的新密码符合系统的复杂度要求。

7. 更新SELinux上下文（至关重要）
   由于我们直接修改了 /etc/shadow 文件，而CentOS默认启用了SELinux（Security-Enhanced Linux），这个安全机制可能会因为文件的安全上下文不正确而阻止系统读取更新后的密码文件，导致重启后依然无法登录，必须创建一个特殊文件，让系统在下次启动时自动重新标记整个文件系统的SELinux上下文。

   touch /.autorelabel

   请务必不要跳过此步骤，这是成功重置密码后能够正常登录的关键。

8. 退出并重启
   完成所有操作后，依次输入以下命令退出并重启系统：

   

   exit
   exit

   系统将自动重启,在重启过程中，您可能会看到系统正在进行SELinux relabeling，这个过程根据磁盘大小和文件数量可能需要几分钟到十几分钟不等，请耐心等待，切勿强制关机，重启完成后，您就可以使用新设置的root密码登录系统了。

操作流程速查表

步骤	操作命令	关键说明
重启	通过物理控制台或远程管理工具重启服务器
编辑GRUB	按 e 键	在开机引导菜单出现时立即按下
修改参数	ro -> rw，末尾加 rd.break	找到linux开头的那一行进行修改
启动	按 Ctrl + X	使用修改后的参数启动进入应急模式
重新挂载	mount -o remount,rw /sysroot	将真实系统根目录挂载为可读写
切换环境	chroot /sysroot	进入真实的系统环境
重置密码	passwd root	按提示输入并确认新密码
更新SELinux	touch /.autorelabel	极其重要！确保重启后能正常登录
重启	exit 两次	系统将自动重启，完成整个流程

---

相关问答 (FAQs)

问题1：如果我的系统版本较老（如CentOS 6），或者rd.break方法无效，该怎么办？

解答： 对于CentOS 6等较旧的系统，或者在某些特殊情况下rd.break不生效时，可以采用传统的single或init=/bin/bash方法，步骤基本类似，但在第3步编辑GRUB参数时，不是添加rd.break，而是将ro改为rw后，在行尾添加single或init=/bin/bash，启动后，您会直接获得一个root shell，此时可能需要手动执行mount -o remount,rw /来挂载根文件系统为读写模式，然后直接passwd root修改密码，对于SELinux的处理，同样建议执行touch /.autorelabel以确保万无一失。

问题2：我已经按照步骤操作，但重启后仍然无法使用新密码登录，是什么原因？

解答： 最常见的原因是，在启用SELinux的CentOS系统中，直接修改/etc/shadow会破坏其安全上下文，没有.autorelabel文件，系统启动时SELinux会阻止登录服务（如SSHD）读取该文件，导致密码验证失败，请检查您在输入新密码时是否有大小写锁定（Caps Lock）或输入错误，如果确认密码无误，可以再次进入应急模式，确认密码是否已被修改（cat /etc/shadow），并确保.autorelabel文件确实存在于根目录（ls /），如果问题依旧，可能需要检查系统日志（如/var/log/secure）来获取更详细的错误信息。