前两天处理过一台麒麟桌面系统V10-SP1 2503的机器情况很典型用户调岗三个月交接单上只写了初始密码试了几次直接被登录策略锁住。这台机器还不能重装里面有验收过的项目文件和几个授权软件重装意味着重新申请激活、重新配环境没有两三天根本下不来。真正稳妥的办法就是救援模式——我经常跟运维同事说只要你不格式化盘、不删系统分区密码问题在救援模式下就是个十几分钟的活。这篇就把V10-SP1 2503上怎么进入救援模式、怎么挂载系统、怎么重置用户密码的完整流程写透顺带把那些容易翻车的细节一起说清楚。适合桌面运维、IT管理员以及所有不想因为一个密码丢掉整台机器数据的普通用户。1. 什么情况下需要走救援模式这条重路1.1 找回密码的三个常规入口很多人一听说重置密码就想着重装系统其实在Linux系桌面上至少有三条路可以走救援模式只是其中一条。如果你的密码忘了但当前系统里还有一个能正常登录、且有sudo权限的普通用户那根本不用进入救援模式。终端里一条命令就解决sudo passwd 目标用户名这是最轻量的入口适合自己忘了密码但同事还有一个管理员账号的情况。第二种情况是你只忘了普通用户的密码但还记得root密码那么登录root后用passwd 用户名一样能改。真正麻烦的是第三种所有能用的登录凭据全丢了系统进不去也没有任何可执行sudo的活账号。这时候才需要走单用户模式或者救援模式。单用户模式靠的是GRUB启动菜单救援模式靠的是U盘里的修复环境。这两种方案后面分别讲。1.2 为什么保留系统比重装划算我见过不少同事密码忘了第一反应是重装吧。如果是家里一台没有任何重要数据的机器重装确实五分钟。但企业环境里完全不是这么回事。麒麟桌面系统的价值很大程度在于已经适配好的业务软件、内网认证配置、打印机驱动、以及一堆散落在用户目录和历史记录里的项目资料。重装系统后软件授权要重新申请环境变量要重新配业务系统的CA证书要重新导数据库客户端要重新调。更别说有些数据如果不提前备份重装之后就是永久丢失。而在救援模式下重置密码本质上只是修改/etc/shadow文件里某个用户的密码字段。系统分区里的其他文件一个都不会被动程序配置、用户数据、日志文件全部原样保留。这就是救援模式最大的价值用最小代价解决登录问题而不是把整台机器推倒重来。1.3 先确认是密码问题而不是系统异常这是我最想提醒的一点。我在网上经常看到有人搜麒麟系统桌面路径变了远程连不上锁屏提示休息之类的关键词然后怀疑是不是密码坏了。这些里面有相当一部分其实跟密码无关。比如桌面路径变了多半是用户主目录被迁移过或者HOME环境变量丢了导致桌面指向了一个空目录。再比如远程连接不上可能是SSH服务没起来也可能是远程桌面服务异常和你本地密码没有关系。还有的锁屏界面提示你已休息那只是屏保策略在起作用并不是账户被锁定。判断标准很简单如果登录界面能出现、能输入密码但密码不对那就是密码问题如果连密码输入框都不出现或者输入密码后立刻报错回到登录界面那要先怀疑账户锁定、显示管理器异常、PAM配置问题甚至磁盘故障。动手走救援模式之前先花两分钟把故障现象看清楚能省掉很多无用功。2. 动手前先搞清楚三件事分区、加密与引导方式2.1 摸清磁盘分区和根目录位置进入救援模式后要手动挂载根分区可如果不知道根分区在哪一切白搭。所以动手之前哪怕只能凭记忆也要先搞清楚这台机器当初是怎么分区的。如果系统还能进命令行直接在正常系统里执行lsblk -f blkid记下根分区对应的设备和UUID。通常麒麟桌面默认分区是/boot一个分区根分区一个分区可能还有单独的/home。根分区的挂载点标识是/文件系统一般是ext4。如果系统已经进不去了在开机自检画面里也能大概判断或者直接进救援模式后用lsblk -f现查。麻烦的是救援环境下设备盘符可能会变所以我建议以UUID为准不要凭系统肯定在sda2这种记忆硬猜。具体原因在第6章详细展开。2.2 检查是否有LUKS磁盘加密这是最容易踩的坑。麒麟桌面安装的时候有一个全盘加密选项一旦选了整个根分区会被LUKS加密。这种情况下你光靠挂载/dev/sda2是没有用的设备上读出来的全是密文。遇到加密盘得先用cryptsetup把加密容器打开cryptsetup luksOpen /dev/sda2 cryptroot执行后系统会要求输入加密口令这个口令是安装系统时设置的跟用户密码不是一回事。输对之后会生成一个/dev/mapper/cryptroot设备这才是可以挂载的根文件系统。所以动手前如果怀疑机器开过全盘加密先去BIOS里看启动盘符或者回忆一下安装流程里有没有设置过卷加密口令。如果完全不记得那大概率没加密但多留个心眼总不会错。2.3 确认UEFI还是Legacy引导引导方式决定你后面进GRUB的操作路径。UEFI机器一般有Secure Boot部分情况会拦截第三方启动U盘导致救援U盘根本起不来。这时候得先到BIOS里临时关掉Secure Boot或者把启动模式切换到Compatibility Support Module。查看方式也很简单正常系统下执行ls /sys/firmware/efi有输出说明是UEFI启动没有输出就是传统Legacy引导。引导方式不影响后续修改密码的命令但UEFI机器在制作U盘时要注意分区表格式Legacy机器反而更省心。3. 方案一用安装U盘进入救援模式重设密码稳妥3.1 制作麒麟V10启动U盘这个方案适合手头有系统镜像和U盘的情况。做准备时先拿到麒麟V10-SP1 2503的ISO镜像然后在Linux机器上直接用dd写入sudo dd ifKylin-Desktop-V10-SP1-2503.iso of/dev/sdb bs4M statusprogress sync注意of后面必须写整块盘符比如/dev/sdb不能写成/dev/sdb1否则只会写到一个分区U盘无法引导。如果你身边只有Windows机器可以用Rufus或UltraISO写入模式选DD镜像或Raw格式。关键是确保U盘以可引导形式存在不是当一个普通U盘去拷贝文件。镜像版本最好跟目标系统一致但考虑到救援模式用的只是内核和基础工具版本不完全一致一般也能用。我甚至拿旧版V10的U盘救过新版系统的密码只要内核能识别ext4和对应文件系统就行。3.2 从U盘引导并进入救援模式ShellU盘插好开机进BIOS的Boot Menu选择U盘启动。麒麟的引导界面出来后通常能看到安装系统救援模式选项选救援模式或Rescue mode字面不同版本略有差异但核心流程一致。接下来安装器会让你选语言、键盘布局然后会开始扫描硬盘上已有的Linux系统。如果检测到了它会提示发现Linux系统是否挂载到/mnt选继续。如果没检测到也不用手足无措直接选打开Shell进入手动流程。我遇到过一个情况救援模式扫描系统时卡在挂载根文件系统失败原因是之前分了/boot和/两个分区但/boot用了XFS扫描器识别出问题了。这种时候不要纠结退出到Shell手动挂载。3.3 挂载根分区并chroot假设根分区是/dev/sda2进入Shell后先确认lsblk -f然后逐步挂载mkdir /mnt/sysroot mount /dev/sda2 /mnt/sysroot mount --bind /dev /mnt/sysroot/dev mount --bind /proc /mnt/sysroot/proc mount --bind /sys /mnt/sysroot/sys chroot /mnt/sysroot这里有个细节必须理解chroot进去之后你看到的是目标系统原来的/目录但内核相关的虚拟文件系统/proc、/sys、/dev仍然来自救援环境。如果不做mount --bind这三步直接在里面执行passwd大概率会因为无法读取设备节点或系统状态而报错。如果根分区是LUKS加密的挂载前先解锁cryptsetup luksOpen /dev/sda2 cryptroot mount /dev/mapper/cryptroot /mnt/sysroot三个虚拟目录同样要绑过去。3.4 用passwd修改目标用户密码chroot成功之后当前shell的根目录已经变成了麒麟系统真正的根目录此时执行passwd就是在修改目标系统里的用户密码passwd yangchen系统会提示输入两次新密码。如果提示BAD PASSWORD说明新密码没通过系统的密码复杂度检查换一个包含大小写、数字和特殊符号的密码即可。这里有个认知点passwd修改的是/etc/shadow文件中的哈希字段。哪怕用户当时正处于账户被锁定或密码已过期状态只要你在root权限下重新设置密码锁定期和过期标记也会一并被清除。所以救援模式重置密码等于把账户状态一起拉回正常。如果你连用户名都不记得可以先看/etc/passwdcat /etc/passwd | grep home带/home目录且UID大于1000的一般是真实用户。3.5 退出救援环境并重启密码改完之后不要直接拔U盘按顺序退出exit umount /mnt/sysroot/dev umount /mnt/sysroot/proc umount /mnt/sysroot/sys umount /mnt/sysroot rebootreboot之前记得把U盘拔掉否则可能又进到安装界面。重启后系统会正常进入中文登录界面用新密码就能登录了。4. 方案二不拆机直接用GRUB单用户模式快4.1 在GRUB菜单里修改内核启动参数这个方法不需要U盘不需要拆机前提是机器能进GRUB启动菜单。麒麟桌面默认的GRUB菜单停留时间很短重启的时候一直按住ShiftLegacy模式或反复按EscUEFI模式就能把菜单调出来。在GRUB菜单上用上下键选中当前要启动的内核按e进入编辑界面。找到以linux开头的那一行后面会跟着vmlinuz-... rootUUID... ro quiet splash之类的内容。在这行末尾加一个参数single也可以换成1效果相同。加完之后按CtrlX或按F10启动。4.2 让根文件系统可写进入单用户模式后系统通常会把根文件系统挂载成只读状态这是为了保证数据安全。但只读状态下是没法写/etc/shadow的先重新挂载为可写mount -o remount,rw /这里有个坑如果你看不到shell提示符或者屏幕上卡在一个空白的登录请求不要慌按一下回车一般会出现rootxxx:~#。如果没有root密码也进来了说明系统配置允许直接进入维护shell要是被要求输入root密码而你又不知道那就用下面的后备手段。4.3 修改密码并修复卡住的场景Shell拿到手且根目录可写之后直接执行passwd 用户名比如passwd yangchen设置完新密码执行exec /sbin/init或者直接reboot -f重启。如果单用户模式因为各种原因进不去还有一个更底层的办法回到GRUB编辑界面在linux那一行里把原有的ro改成rw然后在行尾追加参数init/bin/bash这个参数的意思是跳过systemd初始化内核启动后直接拉起bash。启动完成后你会直接看到一个root shell而且因为ro已经改成rw根文件系统默认就是可写的。此时立即执行mount -o remount,rw / passwd 用户名这种方式事实上绕过了所有登录机制是最后一根稻草。它同样能修复那些连systemd都起不来的系统状态。4.4 单用户模式进不去的后备手段单用户模式和init/bin/bash都依赖GRUB菜单能正常操作。如果机器连GRUB菜单都进不去比如引导损坏或者开机能进系统但循环回到登录页那方案二就不适用了必须回到方案一用U盘里的救援环境来修。还有一种情况GRUB启动后卡在一个占坑界面只有个闪烁的光标。这通常是图形驱动或者磁盘顺序出了问题。我会先等一下确认到底是内核崩溃还是单纯没有显示如果等了五分钟还在原地就直接用U盘方案不要反复重启硬试。5. 重置完成后的收尾与常见翻车点5.1 登录验证与密钥环问题密码改完了第一件事是正常重启、正常登录验证不是改成功但登录仍然被拒。如果登录界面能进、输入新密码后立刻回到登录界面多半是账户锁或者PAM缓存的问题。刚才说的passwd重置通常已经清掉了锁定期但如果系统中配置了faillock等锁定机制可能需要额外清除锁定状态faillock --user 用户名 --reset另外登录后如果弹窗提示密钥环无法解锁别慌。GNOME Keyring默认用旧密码加密的密钥环文件来保存系统密钥和网络凭据。密码改了旧密钥环就打不开了。解决办法是清理掉旧的密钥环数据rm -rf ~/.local/share/keyrings/*然后重新登录系统会基于当前密码重新初始化一个空密钥环。代价是原先保存在系统钥匙圈里的WIFI密码、浏览器密码等会被清空这在密码重置场景下是可以接受的。5.2 密码复杂度把新密码弹回来的处理麒麟桌面默认启用了pam_pwquality密码强度策略。你在救援模式里设置密码时如果被弹回说明新密码不含大小写、数字、特殊符号或者长度不够。最省事的方案是设置一个复杂度达标的密码服务器密码认证通常要求至少8位。如果是批量运维场景确实需要简化密码可以在chroot或单用户模式下临时调整策略参数。修改/etc/security/pwquality.conf里的minlen和dcredit等选项或者临时注释掉/etc/pam.d/common-password中的pam_pwquality.so那行改完之后记得恢复原状。个人用户不太建议走这条路复杂度策略本来就是保护你的。5.3 指纹与人脸绑定需要重新录入不少麒麟桌面设备配了指纹识别或人脸识别。重置密码之后部分版本的生物识别服务会根据用户密码生成校验密钥导致指纹验证虽然能唤醒设备但无法解锁会话。处理方法很直接登录后用普通密码进去打开控制中心的账号设置把旧的指纹和人脸数据删掉重新录入一次。这样新的生物信息会和重置后的密码重新绑定。这个细节常规教程里很少写但它是重置密码后最常见的为什么指纹突然失效的原因。5.4 磁盘加密主目录这类隐藏问题如果你安装系统时不仅加密了根分区还单独给/home目录做了加密那重置用户密码只能解决登录问题解决不了进入系统后打不开原主目录的问题。主目录加密的密钥是独立管理的和用户登录密码不直接挂钩。碰到这种情况你需要的是当初设置的加密口令或恢复密钥单纯重设登录密码无法解锁数据。遇到这类机器我的建议是一旦确认了加密方式先看有没有备份的恢复密钥文件。如果没有切不可删掉任何目录去强行绕过加密那会造成数据永久丢失。这也是为什么我在第2章要你提前确认是否有LUKS加密。6. 我踩过的坑和几条实用的救援建议6.1 chroot之后passwd报错的三种典型情况我第一次用救援模式重置密码时chroot进去执行passwd直接报错cannot change password: Authentication token manipulation error。排查了半天发现是没挂/proc导致passwd在读取系统状态时失败。后面把/dev、/proc、/sys全部绑定挂载问题立解。第二种情况是chroot之后找不到库里文件报error while loading shared libraries。这通常是因为/usr分区没挂上或者根目录挂载后没有绑定/dev节点导致设备节点缺失。这种情况重新检查挂载列表把/usr、/boot等所有需要的内部分区都挂到rootfs下面再试。第三种情况是改了密码之后重启发现新密码不生效。回看现场多半是改密码时根文件系统处于只读状态passwd看似执行成功实际上没能写入/etc/shadow或者是写入后又因未正确卸载而丢失。所以每次修改完我都习惯性地再执行一次sync然后cat /etc/shadow确认对应字段已经变化再退出卸载。6.2 救援分区识别错乱用UUID替代设备名这是救援模式下最阴间的坑。你把U盘插上去之后系统里原来的硬盘很可能从sda变成了sdb或sdc因为U盘本身占用了sda的位置。如果凭记忆直接执行mount /dev/sda2挂上去的可能根本不是目标系统的根分区。正确做法是先看UUIDlsblk -f blkid找到之前记下的根分区UUID然后根据UUID对应到当前环境下的实际设备。如果实在找不到也可以先用file -s /dev/sdX逐个识别文件系统类型再决定挂哪个。这个习惯要养成我第一次就是被盘符偏移坑了一把差点把空盘当成根分区挂载。6.3 想临时免密登录的一个特殊技巧在某些应急场景里比如必须立刻进系统导出数据但连新密码都不想设置也可以直接用root把密码字段清空passwd -d 用户名-d参数会删除账号的密码此时/etc/shadow里该用户密码字段变成了空的。不过大多数系统的PAM配置不允许空密码直接登录需要临时在/etc/pam.d/common-auth或相关配置里加上nullok登录后立刻设回新密码。这个技巧风险很高适合内网维护环境临时用操作完必须恢复原配置不建议普通用户尝试。常规场景老老实实走passwd就够了。6.4 几个长期受益的运维习惯经历过几次救援模式之后我给自己定了三条规矩。第一条是每台机器装完系统把/etc/passwd和/etc/shadow里关键用户的信息导出一份放在随身的加密U盘里不是明文暴露是应急比对用。第二条是确保公司里有一个人保留root密码或至少有一个可用sudo账号密码交接不能只写在一个人手里。第三条是重要的机器定期做数据备份密码重置只是应急手段真正保命的还是备份。另外特别想提一句这些操作只应该用在你合法管理、有权维护的设备上。救援模式功能支持进入任何能通电的机器并且修改密码这个事实恰恰是它必须谨慎使用的理由。我给出的命令和流程是帮大家解决自己的设备问题而不是绕过他人系统的捷径。这次的经验就先写到这。老实说救援模式这活儿玩熟了之后密码遗忘在我这儿就只算一次普通上门全套流程加起来不到二十分钟。真正要紧的不是那几条命令而是动手前的判断和分区信息——知道机器是什么状态、数据在哪里、加密层有几层才不会把一次密码重置做成一次数据事故。下次你遇到麒麟桌面系统登录不了的时候可以先把这篇文章翻出来照着流程走一遍大概率能少走很多弯路。
前两天处理过一台麒麟桌面系统V10-SP1 2503的机器情况很典型用户调岗三个月交接单上只写了初始密码试了几次直接被登录策略锁住。这台机器还不能重装里面有验收过的项目文件和几个授权软件重装意味着重新申请激活、重新配环境没有两三天根本下不来。真正稳妥的办法就是救援模式——我经常跟运维同事说只要你不格式化盘、不删系统分区密码问题在救援模式下就是个十几分钟的活。这篇就把V10-SP1 2503上怎么进入救援模式、怎么挂载系统、怎么重置用户密码的完整流程写透顺带把那些容易翻车的细节一起说清楚。适合桌面运维、IT管理员以及所有不想因为一个密码丢掉整台机器数据的普通用户。1. 什么情况下需要走救援模式这条重路1.1 找回密码的三个常规入口很多人一听说重置密码就想着重装系统其实在Linux系桌面上至少有三条路可以走救援模式只是其中一条。如果你的密码忘了但当前系统里还有一个能正常登录、且有sudo权限的普通用户那根本不用进入救援模式。终端里一条命令就解决sudo passwd 目标用户名这是最轻量的入口适合自己忘了密码但同事还有一个管理员账号的情况。第二种情况是你只忘了普通用户的密码但还记得root密码那么登录root后用passwd 用户名一样能改。真正麻烦的是第三种所有能用的登录凭据全丢了系统进不去也没有任何可执行sudo的活账号。这时候才需要走单用户模式或者救援模式。单用户模式靠的是GRUB启动菜单救援模式靠的是U盘里的修复环境。这两种方案后面分别讲。1.2 为什么保留系统比重装划算我见过不少同事密码忘了第一反应是重装吧。如果是家里一台没有任何重要数据的机器重装确实五分钟。但企业环境里完全不是这么回事。麒麟桌面系统的价值很大程度在于已经适配好的业务软件、内网认证配置、打印机驱动、以及一堆散落在用户目录和历史记录里的项目资料。重装系统后软件授权要重新申请环境变量要重新配业务系统的CA证书要重新导数据库客户端要重新调。更别说有些数据如果不提前备份重装之后就是永久丢失。而在救援模式下重置密码本质上只是修改/etc/shadow文件里某个用户的密码字段。系统分区里的其他文件一个都不会被动程序配置、用户数据、日志文件全部原样保留。这就是救援模式最大的价值用最小代价解决登录问题而不是把整台机器推倒重来。1.3 先确认是密码问题而不是系统异常这是我最想提醒的一点。我在网上经常看到有人搜麒麟系统桌面路径变了远程连不上锁屏提示休息之类的关键词然后怀疑是不是密码坏了。这些里面有相当一部分其实跟密码无关。比如桌面路径变了多半是用户主目录被迁移过或者HOME环境变量丢了导致桌面指向了一个空目录。再比如远程连接不上可能是SSH服务没起来也可能是远程桌面服务异常和你本地密码没有关系。还有的锁屏界面提示你已休息那只是屏保策略在起作用并不是账户被锁定。判断标准很简单如果登录界面能出现、能输入密码但密码不对那就是密码问题如果连密码输入框都不出现或者输入密码后立刻报错回到登录界面那要先怀疑账户锁定、显示管理器异常、PAM配置问题甚至磁盘故障。动手走救援模式之前先花两分钟把故障现象看清楚能省掉很多无用功。2. 动手前先搞清楚三件事分区、加密与引导方式2.1 摸清磁盘分区和根目录位置进入救援模式后要手动挂载根分区可如果不知道根分区在哪一切白搭。所以动手之前哪怕只能凭记忆也要先搞清楚这台机器当初是怎么分区的。如果系统还能进命令行直接在正常系统里执行lsblk -f blkid记下根分区对应的设备和UUID。通常麒麟桌面默认分区是/boot一个分区根分区一个分区可能还有单独的/home。根分区的挂载点标识是/文件系统一般是ext4。如果系统已经进不去了在开机自检画面里也能大概判断或者直接进救援模式后用lsblk -f现查。麻烦的是救援环境下设备盘符可能会变所以我建议以UUID为准不要凭系统肯定在sda2这种记忆硬猜。具体原因在第6章详细展开。2.2 检查是否有LUKS磁盘加密这是最容易踩的坑。麒麟桌面安装的时候有一个全盘加密选项一旦选了整个根分区会被LUKS加密。这种情况下你光靠挂载/dev/sda2是没有用的设备上读出来的全是密文。遇到加密盘得先用cryptsetup把加密容器打开cryptsetup luksOpen /dev/sda2 cryptroot执行后系统会要求输入加密口令这个口令是安装系统时设置的跟用户密码不是一回事。输对之后会生成一个/dev/mapper/cryptroot设备这才是可以挂载的根文件系统。所以动手前如果怀疑机器开过全盘加密先去BIOS里看启动盘符或者回忆一下安装流程里有没有设置过卷加密口令。如果完全不记得那大概率没加密但多留个心眼总不会错。2.3 确认UEFI还是Legacy引导引导方式决定你后面进GRUB的操作路径。UEFI机器一般有Secure Boot部分情况会拦截第三方启动U盘导致救援U盘根本起不来。这时候得先到BIOS里临时关掉Secure Boot或者把启动模式切换到Compatibility Support Module。查看方式也很简单正常系统下执行ls /sys/firmware/efi有输出说明是UEFI启动没有输出就是传统Legacy引导。引导方式不影响后续修改密码的命令但UEFI机器在制作U盘时要注意分区表格式Legacy机器反而更省心。3. 方案一用安装U盘进入救援模式重设密码稳妥3.1 制作麒麟V10启动U盘这个方案适合手头有系统镜像和U盘的情况。做准备时先拿到麒麟V10-SP1 2503的ISO镜像然后在Linux机器上直接用dd写入sudo dd ifKylin-Desktop-V10-SP1-2503.iso of/dev/sdb bs4M statusprogress sync注意of后面必须写整块盘符比如/dev/sdb不能写成/dev/sdb1否则只会写到一个分区U盘无法引导。如果你身边只有Windows机器可以用Rufus或UltraISO写入模式选DD镜像或Raw格式。关键是确保U盘以可引导形式存在不是当一个普通U盘去拷贝文件。镜像版本最好跟目标系统一致但考虑到救援模式用的只是内核和基础工具版本不完全一致一般也能用。我甚至拿旧版V10的U盘救过新版系统的密码只要内核能识别ext4和对应文件系统就行。3.2 从U盘引导并进入救援模式ShellU盘插好开机进BIOS的Boot Menu选择U盘启动。麒麟的引导界面出来后通常能看到安装系统救援模式选项选救援模式或Rescue mode字面不同版本略有差异但核心流程一致。接下来安装器会让你选语言、键盘布局然后会开始扫描硬盘上已有的Linux系统。如果检测到了它会提示发现Linux系统是否挂载到/mnt选继续。如果没检测到也不用手足无措直接选打开Shell进入手动流程。我遇到过一个情况救援模式扫描系统时卡在挂载根文件系统失败原因是之前分了/boot和/两个分区但/boot用了XFS扫描器识别出问题了。这种时候不要纠结退出到Shell手动挂载。3.3 挂载根分区并chroot假设根分区是/dev/sda2进入Shell后先确认lsblk -f然后逐步挂载mkdir /mnt/sysroot mount /dev/sda2 /mnt/sysroot mount --bind /dev /mnt/sysroot/dev mount --bind /proc /mnt/sysroot/proc mount --bind /sys /mnt/sysroot/sys chroot /mnt/sysroot这里有个细节必须理解chroot进去之后你看到的是目标系统原来的/目录但内核相关的虚拟文件系统/proc、/sys、/dev仍然来自救援环境。如果不做mount --bind这三步直接在里面执行passwd大概率会因为无法读取设备节点或系统状态而报错。如果根分区是LUKS加密的挂载前先解锁cryptsetup luksOpen /dev/sda2 cryptroot mount /dev/mapper/cryptroot /mnt/sysroot三个虚拟目录同样要绑过去。3.4 用passwd修改目标用户密码chroot成功之后当前shell的根目录已经变成了麒麟系统真正的根目录此时执行passwd就是在修改目标系统里的用户密码passwd yangchen系统会提示输入两次新密码。如果提示BAD PASSWORD说明新密码没通过系统的密码复杂度检查换一个包含大小写、数字和特殊符号的密码即可。这里有个认知点passwd修改的是/etc/shadow文件中的哈希字段。哪怕用户当时正处于账户被锁定或密码已过期状态只要你在root权限下重新设置密码锁定期和过期标记也会一并被清除。所以救援模式重置密码等于把账户状态一起拉回正常。如果你连用户名都不记得可以先看/etc/passwdcat /etc/passwd | grep home带/home目录且UID大于1000的一般是真实用户。3.5 退出救援环境并重启密码改完之后不要直接拔U盘按顺序退出exit umount /mnt/sysroot/dev umount /mnt/sysroot/proc umount /mnt/sysroot/sys umount /mnt/sysroot rebootreboot之前记得把U盘拔掉否则可能又进到安装界面。重启后系统会正常进入中文登录界面用新密码就能登录了。4. 方案二不拆机直接用GRUB单用户模式快4.1 在GRUB菜单里修改内核启动参数这个方法不需要U盘不需要拆机前提是机器能进GRUB启动菜单。麒麟桌面默认的GRUB菜单停留时间很短重启的时候一直按住ShiftLegacy模式或反复按EscUEFI模式就能把菜单调出来。在GRUB菜单上用上下键选中当前要启动的内核按e进入编辑界面。找到以linux开头的那一行后面会跟着vmlinuz-... rootUUID... ro quiet splash之类的内容。在这行末尾加一个参数single也可以换成1效果相同。加完之后按CtrlX或按F10启动。4.2 让根文件系统可写进入单用户模式后系统通常会把根文件系统挂载成只读状态这是为了保证数据安全。但只读状态下是没法写/etc/shadow的先重新挂载为可写mount -o remount,rw /这里有个坑如果你看不到shell提示符或者屏幕上卡在一个空白的登录请求不要慌按一下回车一般会出现rootxxx:~#。如果没有root密码也进来了说明系统配置允许直接进入维护shell要是被要求输入root密码而你又不知道那就用下面的后备手段。4.3 修改密码并修复卡住的场景Shell拿到手且根目录可写之后直接执行passwd 用户名比如passwd yangchen设置完新密码执行exec /sbin/init或者直接reboot -f重启。如果单用户模式因为各种原因进不去还有一个更底层的办法回到GRUB编辑界面在linux那一行里把原有的ro改成rw然后在行尾追加参数init/bin/bash这个参数的意思是跳过systemd初始化内核启动后直接拉起bash。启动完成后你会直接看到一个root shell而且因为ro已经改成rw根文件系统默认就是可写的。此时立即执行mount -o remount,rw / passwd 用户名这种方式事实上绕过了所有登录机制是最后一根稻草。它同样能修复那些连systemd都起不来的系统状态。4.4 单用户模式进不去的后备手段单用户模式和init/bin/bash都依赖GRUB菜单能正常操作。如果机器连GRUB菜单都进不去比如引导损坏或者开机能进系统但循环回到登录页那方案二就不适用了必须回到方案一用U盘里的救援环境来修。还有一种情况GRUB启动后卡在一个占坑界面只有个闪烁的光标。这通常是图形驱动或者磁盘顺序出了问题。我会先等一下确认到底是内核崩溃还是单纯没有显示如果等了五分钟还在原地就直接用U盘方案不要反复重启硬试。5. 重置完成后的收尾与常见翻车点5.1 登录验证与密钥环问题密码改完了第一件事是正常重启、正常登录验证不是改成功但登录仍然被拒。如果登录界面能进、输入新密码后立刻回到登录界面多半是账户锁或者PAM缓存的问题。刚才说的passwd重置通常已经清掉了锁定期但如果系统中配置了faillock等锁定机制可能需要额外清除锁定状态faillock --user 用户名 --reset另外登录后如果弹窗提示密钥环无法解锁别慌。GNOME Keyring默认用旧密码加密的密钥环文件来保存系统密钥和网络凭据。密码改了旧密钥环就打不开了。解决办法是清理掉旧的密钥环数据rm -rf ~/.local/share/keyrings/*然后重新登录系统会基于当前密码重新初始化一个空密钥环。代价是原先保存在系统钥匙圈里的WIFI密码、浏览器密码等会被清空这在密码重置场景下是可以接受的。5.2 密码复杂度把新密码弹回来的处理麒麟桌面默认启用了pam_pwquality密码强度策略。你在救援模式里设置密码时如果被弹回说明新密码不含大小写、数字、特殊符号或者长度不够。最省事的方案是设置一个复杂度达标的密码服务器密码认证通常要求至少8位。如果是批量运维场景确实需要简化密码可以在chroot或单用户模式下临时调整策略参数。修改/etc/security/pwquality.conf里的minlen和dcredit等选项或者临时注释掉/etc/pam.d/common-password中的pam_pwquality.so那行改完之后记得恢复原状。个人用户不太建议走这条路复杂度策略本来就是保护你的。5.3 指纹与人脸绑定需要重新录入不少麒麟桌面设备配了指纹识别或人脸识别。重置密码之后部分版本的生物识别服务会根据用户密码生成校验密钥导致指纹验证虽然能唤醒设备但无法解锁会话。处理方法很直接登录后用普通密码进去打开控制中心的账号设置把旧的指纹和人脸数据删掉重新录入一次。这样新的生物信息会和重置后的密码重新绑定。这个细节常规教程里很少写但它是重置密码后最常见的为什么指纹突然失效的原因。5.4 磁盘加密主目录这类隐藏问题如果你安装系统时不仅加密了根分区还单独给/home目录做了加密那重置用户密码只能解决登录问题解决不了进入系统后打不开原主目录的问题。主目录加密的密钥是独立管理的和用户登录密码不直接挂钩。碰到这种情况你需要的是当初设置的加密口令或恢复密钥单纯重设登录密码无法解锁数据。遇到这类机器我的建议是一旦确认了加密方式先看有没有备份的恢复密钥文件。如果没有切不可删掉任何目录去强行绕过加密那会造成数据永久丢失。这也是为什么我在第2章要你提前确认是否有LUKS加密。6. 我踩过的坑和几条实用的救援建议6.1 chroot之后passwd报错的三种典型情况我第一次用救援模式重置密码时chroot进去执行passwd直接报错cannot change password: Authentication token manipulation error。排查了半天发现是没挂/proc导致passwd在读取系统状态时失败。后面把/dev、/proc、/sys全部绑定挂载问题立解。第二种情况是chroot之后找不到库里文件报error while loading shared libraries。这通常是因为/usr分区没挂上或者根目录挂载后没有绑定/dev节点导致设备节点缺失。这种情况重新检查挂载列表把/usr、/boot等所有需要的内部分区都挂到rootfs下面再试。第三种情况是改了密码之后重启发现新密码不生效。回看现场多半是改密码时根文件系统处于只读状态passwd看似执行成功实际上没能写入/etc/shadow或者是写入后又因未正确卸载而丢失。所以每次修改完我都习惯性地再执行一次sync然后cat /etc/shadow确认对应字段已经变化再退出卸载。6.2 救援分区识别错乱用UUID替代设备名这是救援模式下最阴间的坑。你把U盘插上去之后系统里原来的硬盘很可能从sda变成了sdb或sdc因为U盘本身占用了sda的位置。如果凭记忆直接执行mount /dev/sda2挂上去的可能根本不是目标系统的根分区。正确做法是先看UUIDlsblk -f blkid找到之前记下的根分区UUID然后根据UUID对应到当前环境下的实际设备。如果实在找不到也可以先用file -s /dev/sdX逐个识别文件系统类型再决定挂哪个。这个习惯要养成我第一次就是被盘符偏移坑了一把差点把空盘当成根分区挂载。6.3 想临时免密登录的一个特殊技巧在某些应急场景里比如必须立刻进系统导出数据但连新密码都不想设置也可以直接用root把密码字段清空passwd -d 用户名-d参数会删除账号的密码此时/etc/shadow里该用户密码字段变成了空的。不过大多数系统的PAM配置不允许空密码直接登录需要临时在/etc/pam.d/common-auth或相关配置里加上nullok登录后立刻设回新密码。这个技巧风险很高适合内网维护环境临时用操作完必须恢复原配置不建议普通用户尝试。常规场景老老实实走passwd就够了。6.4 几个长期受益的运维习惯经历过几次救援模式之后我给自己定了三条规矩。第一条是每台机器装完系统把/etc/passwd和/etc/shadow里关键用户的信息导出一份放在随身的加密U盘里不是明文暴露是应急比对用。第二条是确保公司里有一个人保留root密码或至少有一个可用sudo账号密码交接不能只写在一个人手里。第三条是重要的机器定期做数据备份密码重置只是应急手段真正保命的还是备份。另外特别想提一句这些操作只应该用在你合法管理、有权维护的设备上。救援模式功能支持进入任何能通电的机器并且修改密码这个事实恰恰是它必须谨慎使用的理由。我给出的命令和流程是帮大家解决自己的设备问题而不是绕过他人系统的捷径。这次的经验就先写到这。老实说救援模式这活儿玩熟了之后密码遗忘在我这儿就只算一次普通上门全套流程加起来不到二十分钟。真正要紧的不是那几条命令而是动手前的判断和分区信息——知道机器是什么状态、数据在哪里、加密层有几层才不会把一次密码重置做成一次数据事故。下次你遇到麒麟桌面系统登录不了的时候可以先把这篇文章翻出来照着流程走一遍大概率能少走很多弯路。
