CentOS系统中使用su命令时出现鉴定失败，如何排查和解决？

在CentOS系统中使用su命令切换用户时，若遇到“鉴定故障”（Authentication Failure）错误，通常表现为输入正确密码后系统拒绝访问，提示“su: Authentication failure”，这一问题的根源涉及权限配置、PAM模块设置、SELinux策略及用户环境等多个层面，需通过系统性排查解决。

核心原因分析

su命令依赖Linux PAM（Pluggable Authentication Modules）框架进行身份验证，失败的主要原因包括：

密码输入错误或账户锁定

最常见场景是用户误输密码,或因多次尝试导致账户被临时锁定（如pam_faillock模块触发），若目标用户的密码包含特殊字符（如、&），未正确转义可能导致解析错误。

PAM配置文件异常

/etc/pam.d/su是控制su行为的关键文件，若其中模块顺序错误、参数配置不当（如auth required pam_unix.so的nullok选项缺失），会直接阻断认证流程，若强制要求非root用户使用sudo（如添加auth sufficient pam_sudo.so但配置错误），可能干扰默认认证逻辑。

SELinux策略限制

SELinux的安全上下文规则可能阻止su操作，当目标用户的home目录或shell路径未正确标记安全上下文（如user_home_dir_t），或进程权限不足时，系统会拒绝执行su命令。

用户环境变量冲突

目标用户的.bashrc或.profile中存在语法错误（如未闭合的引号），导致Shell初始化失败，间接影响su后的环境加载，虽不直接引发“Authentication Failure”，但可能伴随其他错误提示。

分步排查与解决方案

针对上述原因,按以下步骤逐一验证并修复：

步骤1：验证密码与账户状态

• 检查密码正确性：确保输入的密码无大小写错误、特殊字符转义正确（如在命令行中使用单引号包裹密码）。
• 确认账户未锁定：使用passwd -S <username>查看账户状态，若显示“Locked”，需解锁（passwd -u <username>）；若因pam_faillock锁定，可通过faillock --reset重置计数器。

步骤2：审查PAM配置文件

编辑/etc/pam.d/su，确保核心认证模块正常工作：

# 确保以下行存在且未被注释
auth            sufficient      pam_rootok.so
auth            substack        system-auth
account         required        pam_access.so
session         optional        pam_keyinit.so force revoke
session         include         system-session

• 若修改过该文件,恢复为默认配置（可从/etc/pam.d/su-original备份对比）。
• 检查system-auth链接是否指向正确的PAM配置（通常为/etc/pam.d/system-auth-ac）。

步骤3：调整SELinux策略

临时关闭SELinux测试（生产环境建议永久修复）：

setenforce 0  # 临时关闭
getenforce    # 确认状态为Permissive

若su恢复正常，说明SELinux策略限制，需通过audit2why分析日志（cat /var/log/audit/audit.log | grep su | audit2why），然后调整策略（如允许特定用户切换）。

步骤4：验证用户环境文件

以目标用户身份登录（如ssh <username>@localhost），检查其家目录下的.bashrc和.profile是否存在语法错误，删除可能导致错误的行（如未闭合的if语句），再尝试su切换。

常见场景案例与处理

场景	错误表现	解决方法
密码含特殊字符	输入密码后立即失败	使用单引号包裹密码（如su - 'us_er'）
PAM模块顺序错误	提示“Module is unknown”	恢复/etc/pam.d/su默认配置
SELinux限制root切换	仅root用户切换失败	调整semanage login策略（如semanage login -m -s sysadm_u root）
用户家目录权限错误	切换后提示“Permission denied”	设置家目录权限为700（chmod 700 /home/<username>）

预防措施

1. 定期审计PAM配置：每月检查/etc/pam.d/下关键文件的完整性，避免误改。
2. 监控SELinux日志：开启ausearch -m avc -ts recent实时监控安全事件，及时响应策略变更。
3. 规范用户环境文件：通过模板管理用户.bashrc，禁止随意添加复杂脚本。

FAQs

Q1：为什么用root切换普通用户也会出现Authentication Failure？
A：即使以root身份运行su，仍需通过PAM验证目标用户的密码（除非配置了pam_rootok.so），若目标用户密码错误或账户锁定，仍会失败，SELinux可能限制root对目标用户资源的访问，需检查semanage login策略。

A：使用pamtester工具模拟认证过程（需先安装：yum install pamtester），命令如下：

pamtester --verbose /etc/pam.d/su <username> authenticate

输出结果中,“Authentication succeeded”表示配置正确；“Authentication failed”则需回溯日志定位问题。

通过以上系统性排查与针对性修复,可有效解决CentOS系统中su命令的“Authentication Failure”问题，保障用户切换功能的稳定性。