CentOS忘记root密码后，要如何重置并保存生效？

在CentOS系统中，root账户拥有至高无上的权限，可以执行任何系统操作，root密码的安全与管理是系统运维的重中之重，这里的“保存”一词，不仅指用户如何记忆与保管密码,更涵盖了系统如何存储密码以及管理员应采取的最佳实践。

密码的存储机制

需要明确一点：CentOS系统不会以明文形式“保存”任何用户的密码，为了安全，所有密码都经过加密算法处理后，以哈希值的形式存储在特定的配置文件中，这种机制确保了即使文件被读取,攻击者也无法直接获取原始密码。

CentOS主要依赖两个核心文件来管理用户信息：

• /etc/passwd：存储用户账户的基本信息，如用户名、UID、GID、主目录和默认Shell，它对所有用户可读,但不包含密码信息。
• /etc/shadow：专门用于存储密码的哈希值及相关策略，此文件只有root用户可以读取,极大地增强了安全性。

/etc/shadow文件中的每一行都对应一个用户，并由冒号（:）分隔成九个字段,其结构如下表所示：

字段序号	字段名称	描述
1	用户名	登录系统时使用的名称
2	加密密码	经过SHA-512等算法加密后的密码哈希值
3	上次修改日期	从1970年1月1日到上次修改密码的天数
4	最小间隔天数	两次修改密码之间所需的最小天数
5	最大间隔天数	密码保持有效的最大天数
6	警告天数	密码过期前提前警告用户的天数
7	宽限天数	密码过期后，账户仍可登录的天数
8	失效日期	账户被禁用的具体日期（从1970年1月1日算起）
9	保留字段	当前为空，供未来使用

当用户登录时，系统会将输入的密码通过相同的加密算法进行处理，然后与/etc/shadow文件中存储的哈希值进行比对，如果一致,则认证成功。

管理员密码管理策略

作为系统管理员，仅仅依赖系统的加密机制是不够的，还需要采取主动的策略来“保存”和管理root密码。

密码强度与复杂性
root密码必须足够强大，应包含大小写字母、数字和特殊符号，且长度不少于12位，避免使用生日、姓名、常见单词或“123456”等弱密码,可以使用密码生成器创建高强度的随机密码。

安全存储与定期更换
绝对禁止将密码以明文形式写在便签、文本文档或邮件中，推荐使用专业的密码管理器（如KeePassXC、Bitwarden等）来加密存储所有密码，应制定策略，定期（如每3-6个月）更换root密码,特别是在有人员变动或怀疑密码泄露时。

最小化root使用
在日常运维中，应尽量使用普通账户登录，然后通过sudo命令来执行需要特权的操作,这样做有三大好处：

1. 减少密码暴露：无需向多人透露root密码。
2. 操作可追溯：sudo命令会记录执行者,便于审计。
3. 降低误操作风险：每次执行特权命令都需要确认,给了操作者思考的时间。

忘记密码怎么办？

即便管理再严格，也可能发生忘记root密码的情况，可以通过进入单用户模式来重置密码,基本流程如下：

1. 重启CentOS服务器，在GRUB引导菜单出现时，按e键进入编辑模式。
2. 找到以linux或linux16开头的内核行，将光标移动到行末，添加rd.break或init=/bin/bash参数。
3. 按Ctrl + X启动系统,系统将进入一个临时的shell环境。
4. 重新挂载根文件系统为可读写模式：mount -o remount,rw /sysroot。
5. 切换到原始系统环境：chroot /sysroot。
6. 使用passwd root命令,按提示设置新的root密码。
7. 由于修改了密码文件，需要让SELinux重新标记文件：touch /.autorelabel。
8. 输入exit两次，系统将自动重启,重启后即可使用新密码登录。

---

相关问答FAQs

A: 强烈不建议这样做。/etc/shadow文件中的密码字段是经过复杂哈希算法生成的字符串，直接手动编辑几乎不可能生成正确的哈希值，错误的编辑会导致账户无法登录，甚至可能引发系统安全问题，始终应使用passwd命令来修改密码,它会安全地处理加密和文件更新。

A: 本质区别在于权限控制和可审计性，直接登录root意味着你拥有了系统的全部权限，任何操作都难以追溯到具体个人，而sudo遵循“最小权限原则”，可以精细地控制某个用户只能执行特定的命令，并且所有通过sudo执行的操作都会被详细记录在日志中（如/var/log/secure）,这对于多管理员环境下的安全审计至关重要。