我行我素12334装过虚拟机的人基本都遇到过那种急到冒汗的时刻：系统装好了，服务部署一大半，结果第二天登录root发现密码不对了。要么是装系统时随手敲了一串自己都记不住的复杂口令，要么是紧急情况下让同事帮忙改过密码，然后就没有然后了。以前在物理机上碰到这事，基本只能抱着显示器反复重启，在GRUB倒计时的几秒钟里手忙脚乱地找按键。但如果你用的是虚拟机——比如VMware里的麒麟操作系统——重置root密码这件事就从"玄学操作"变成了"按步骤就能完成的标准流程"。我这两年帮人处理过不少次银河麒麟V10的root密码找回问题，大部分场景都是在VMware虚拟机里，这篇文章就把几种可用的重置方法、背后的原理、以及实际操作中容易踩的坑一次性说清楚。
1. 先理清楚思路：重置root密码，本质上是在做什么
1.1 root密码到底存在哪里，重置操作的原理是什么
要搞清楚怎么重置密码，得先知道Linux系统把密码放在哪儿。多数发行版的用户密码哈希都存放在 /etc/shadow 这个文件里，root用户对应第一行，大概长这样：
bash复制root:$6$Nxw9W8eM$1K2J...:19000:0:99999:7:::
中间那段 $6$ 开头的是密码哈希值，$6$ 表示使用SHA-512算法。系统登录时，用户输入的密码会经过相同算法计算出哈希，再和shadow文件里存的哈希比对。如果一致，恭喜你，身份认证通过；如果不一致，对不起，请重试。
所以重置root密码的本质非常简单：绕开正常登录的鉴权流程，让自己进入一个有root权限、能读写根文件系统的环境，然后执行 passwd root 把新的密码哈希写回shadow文件。 整个过程不复杂，关键是怎么进入那个"有root权限、能写根文件系统"的环境。
Linux从按下电源键到出现登录界面的启动链路大概是这样：固件（BIOS/UEFI）→ GRUB引导程序 → 内核 + initramfs → 挂载真实根文件系统 → systemd初始化 → 登录界面。每一环之间都留有干预的缝隙，重置密码就是抓住早期某个环节，启动参数动手脚，让系统把控制台交给我们，而不是交给登录管理器。物理机要盲改参数，虚拟机的优势是可以通过VMware控制台直观看到输出，键盘、鼠标、画面全都看得见摸得着，容错率高很多。
1.2 虚拟机相比物理机，在密码重置上的天然优势
虚拟机的第一个优势是有快照。操作之前拍个快照，哪怕后面把系统搞到起不来，一两秒钟就能回到之前的可用状态，心理压力小很多。第二个优势是虚拟光驱，只要有ISO镜像，随时可以挂载引导进救援环境。第三个优势是虚拟机的磁盘文件（比如VMDK）本质上是普通文件，实在没办法时甚至可以把虚拟磁盘挂载到宿主机或者另一台Linux机器上，直接改shadow文件的哈希。最后一点操作门槛稍高，我一般不作为首选推荐，但遇到不熟悉的虚拟化平台，知道还有这条路会安心不少。
不过虚拟机也有自己容易翻车的细节。比如GRUB菜单默认倒计时往往只有几秒，手一慢屏幕就过去了，只能重启再来。再比如很多新装的麒麟系统默认走UEFI引导，启动画面一闪而过，没抓到按键就得反复试。这些坑后面在常见问题部分我会专门展开。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 动手前的准备：环境确认、快照、ISO救援盘
2.1 先判断系统版本和引导方式，避免方法用错
如果你现在还能用某个普通用户登录系统，不要急着重启，先做两件事：第一，确认系统版本和根分区情况；第二，把有用的数据备份一份或者至少心里有数。能进系统的话，执行这几条命令收集信息：
bash复制cat /etc/os-release
uname -a
df -hT /
blkid
/etc/os-release 能看到麒麟的系统版本号，uname -a 看内核版本，df -hT / 能看出根分区是什么文件系统（麒麟服务器版常见的是xfs），blkid 可以列出磁盘分区和UUID。这些信息在后续救援、挂载、排错时非常有用。如果系统里开了LVM逻辑卷，rd.break 方法在initramfs阶段其实已经加载好了相关驱动，处理LVM分区时反而比手动挂载的方式更稳。
另外还要分辨一下引导方式。VMware中比较快的判断方法：开机时如果看到图形化的GRUB菜单且字体较大，通常是UEFI；传统的黑白文字GRUB菜单多配合BIOS引导。能进系统的话，执行 ls /sys/firmware/efi，如果目录存在，说明是UEFI启动；如果没有这个目录，大概率是BIOS（Legacy）启动。引导方式不同会影响你后续怎么进GRUB编辑界面，但两种方式下重置密码的核心步骤完全一样。
2.2 给虚拟机打快照，给自己留一条百分百能回头的路
这是我每次操作前一定会做的一步，也是我反复跟朋友强调的习惯。在VMware Workstation里，打开目标虚拟机，点击菜单栏的"虚拟机"→"快照"→"拍摄快照"，填个名称和描述就完成了。比如写下"重置root密码前备份"，日期一并写清楚。过程基本是秒级完成，相比重置失败后花几小时抢救系统，这点时间成本完全可以忽略。
快照的本质是保留当前虚拟磁盘的状态和内存状态，相当于给系统拍了一张"后悔药"。重置密码过程中常见的意外都发生过：参数加错导致系统起不来、手抖把linux行删掉了一半、selinux开机重新标记时卡住。如果没有快照，这些情况多少会让人头皮发麻；有快照的话，直接恢复到操作前状态，重来一遍就好。不过要记得，快照恢复会丢失快照之后的所有数据变更，所以如果你的系统上有重要的新数据，优先考虑把数据备份出来再做操作。
2.3 准备麒麟ISO镜像，做好进入救援模式的后手
大多数情况下，用GRUB参数就能直接重置密码，不需要额外工具。但万一GRUB引导本身损坏了，或者系统因为别的原因无法正常引导，你就需要一张救援盘。反正ISO镜像不难准备，建议先下载好备用，免得真到用时手忙脚乱。
下载和当前系统版本匹配的麒麟操作系统ISO镜像，然后在VMware里打开虚拟机设置（虚拟机→设置），找到"CD/DVD"设备，选择"使用ISO映像文件"，浏览选择你下载好的ISO，并勾选"启动时连接"。这样一来，重启虚拟机时就可以选择从虚拟光驱引导。如果你的虚拟机同时配置了多个启动介质，在VMware的"虚拟机→电源→打开电源时进入固件"时可以调整启动顺序，也可以开机时快速按Esc弹出引导菜单直接选择光驱启动。
提示：重置root密码本身只需要GRUB可编辑即可，不一定要挂ISO。但准备ISO是一个习惯问题，真碰上系统完全起不来的场景，你会发现这张盘比什么都可靠。
3. 方法一：rd.break 重置法（推荐首选）
3.1 进入GRUB菜单并编辑启动项
rd.break是我在实际操作中用得最多、成功率也最高的一种方式，尤其适合麒麟V10这类基于RHEL系架构的系统。操作步骤如下：
先在VMware控制台里点一下虚拟机窗口，确保键盘输入焦点都在虚拟机里面，然后重启虚拟机。开机的一瞬间，快速连按Shift键，如果没反应，下一次开机换成连按Esc。麒麟系统的GRUB菜单默认等待时间通常不长，错过了就重启再来，别着急。等到出现蓝色或黑白的GRUB菜单后，移动上下键选中默认启动项（通常是第一项），然后按字母键 e 进入编辑模式。
编辑界面里会显示一堆启动配置，千万不要乱动其他行，只需要找到以 linux 开头的那一行。这行通常长这样：
bash复制linux /boot/vmlinuz-4.19.90-25.10.v2101.kylin.aarch64 root=UUID=xxxxx ro quiet
把光标移动到这一行的末尾，敲一个空格，然后追加参数：
bash复制rd.break
最后按 Ctrl + X 用修改后的参数启动系统。系统会在initramfs阶段停下来，最终你会看到类似下面这样的提示符：
bash复制switch_root:/#
出现这个提示符就说明已经进入了重置密码的临时环境，接下来才是真正关键的部分。
3.2 进入switch_root环境后的正确操作顺序
看到 switch_root:/# 这个提示符时不要急着敲 passwd，99%的新手都在这里栽过跟头。这个环境用的是initramfs内存文件系统，它的 /etc/shadow 和磁盘上真实系统的 /etc/shadow 是两份不同的文件。直接在这个环境里改密码，重启后原密码仍然有效，等于白忙活。
要先找到真实系统的根分区。在RHEL系架构（麒麟V10也遵循这个逻辑）中，initramfs阶段会把实际磁盘根分区挂载到 /sysroot 目录，但默认是只读挂载。所以第一步要重新挂载为可读写：
bash复制mount -o remount,rw /sysroot
然后切换到真实根目录：
bash复制chroot /sysroot
进入chroot环境后，建议先设置一下PATH，避免后面 passwd 命令找不到：
bash复制export PATH=/usr/bin:/usr/sbin:/bin:/sbin
接着就可以正常重置root密码了：
bash复制passwd root
系统会提示输入两次新密码，输入时屏幕上不会有任何回显字符，这是Linux的常规行为，不是什么故障。看到类似 passwd: all authentication tokens updated successfully 的提示，说明密码已经写入了真实的shadow文件。
3.3 处理SELinux，防止重启后出现怪异问题
密码改完之后，还有一件经常被忽略的事：查看SELinux的状态。麒麟V10有些版本默认开启SELinux，而且是enforcing模式。如果你在修改密码的过程中改变了文件的安全上下文（passwd命令会更新shadow文件，文件的SELinux标签可能发生变化），重启后系统可能遇到异常：要么登录后部分命令无法执行，要么sshd服务起不来，看起来像系统被弄坏了。
解决办法很简单，在chroot环境（也就是真实根目录下）执行：
bash复制touch /.autorelabel
这个命令会创建一个标记文件，下次开机时，系统会重新扫描所有文件并修复SELinux安全上下文。修复过程耗时取决于磁盘数据量，几分钟到十几分钟不等，请耐心等待，不要中途强制重启。如果确认系统SELinux本来就是disabled状态，可以跳过这一步；但为了保险，我建议哪怕不确定也先执行一下，反正只是下次开机多花一点时间。
最后退出并重启：
bash复制exit
exit
reboot -f
第一个 exit 退出chroot回到switch_root环境，第二个 exit 退出switch_root环境，reboot -f 强制重启。如果你在重启时发现虚拟机长时间停在黑屏阶段，多半是SELinux正在做自动relabel，多等一会儿就好。
3.4 为什么rd.break方案成功率最高
我之前也尝试过其他方法，但最终在绝大多数场景下都回到了rd.break。原因主要有三点：
第一，rd.break 是RHEL系系统官方保留的启动断点机制，在systemd真正接管之前就暂停了，整个过程不依赖系统服务是否正常，不受原密码保护，也不需要任何其他机器。只要GRUB还能编辑，几乎就是百分百可控。
第二，到了initramfs阶段，磁盘驱动、LVM、多路径这些底层组件已经初始化完毕，所以不管是普通分区、LVM逻辑卷，还是xfs/ext4文件系统，都能正常识别和挂载。相比一些手动挂载的方式，它的环境更接近一个"完整可用"的操作环境。
第三，它只需要一个启动参数，几乎不会破坏原有配置。启动完成后，除了密码被重置，系统其余配置都保持不变，风险极低。
4. 方法二：init=/bin/bash 直接进根目录
4.1 操作流程
如果你觉得 rd.break + chroot 的流程略显繁琐，还有一个更直观的方法：通过内核参数直接让系统以root shell启动。操作也很简单，同样进入GRUB编辑界面，找到以 linux 开头的那一行，在行尾追加：
bash复制init=/bin/bash
然后按 Ctrl + X 启动。系统跳过所有服务，直接进入一个bash shell，提示符通常是 bash-4.x# 或类似形式。这个shell是以root身份运行的，而且理论上已经处于真实根目录环境。
不过启动时根目录默认是只读挂载，需要先手动改一下：
bash复制mount -o remount,rw /
接着确认一下现在位于哪个目录、是否能正常读写：
bash复制pwd
mount | grep " / "
然后执行密码重置：
bash复制passwd root
如果你不确定系统SELinux状态，可以顺手执行：
bash复制touch /.autorelabel
最后重启虚拟机：
bash复制reboot -f
4.2 这个方法有几个限制条件
init=/bin/bash 在流程上确实比 rd.break 更简单，毕竟不需要chroot，挂载点就是 /，对不太熟悉Linux的朋友来说更友好。但它有两个明显的限制。
第一，如果你的根分区在LVM逻辑卷里，或者使用了磁盘加密（LUKS），init=/bin/bash 直启的方式可能无法正确处理。因为这种直启方式跳过了systemd的正常初始化流程，initramfs对加密卷的解锁逻辑可能不会完整执行，最后你看到的 / 可能是个空目录。这时你就得手动去发现设备、解密卷，操作复杂度反而上去了。
第二，有些麒麟版本在 init=/bin/bash 方式下，根分区并没有自动挂载。你可能要先通过 fdisk -l 或 blkid 找到对应分区，再手动挂载，比如：
bash复制mount -o rw /dev/mapper/kl-root /
所以这个方案更适合根分区结构比较简单的虚拟机。如果你不确定分区结构，或者系统当初安装时做了LVM，我个人建议还是优先用 rd.break。
5. 方法三：单用户模式与ISO救援模式
5.1 为什么"加single"的老办法在麒麟V10上不太好用了
网上很多教程会教你"启动时按e，在linux行末尾加single，然后进入单用户模式”。这种操作放在十几年用SysVinit的发行版上确实屡试不爽，但在现在所有发行版全面转向systemd之后，情况发生了改变。
麒麟V10默认启动目标中，对应老"单用户模式"的是 rescue.target 和 emergency.target。如果你在GRUB里给内核追加 single 或 s，确实有可能进入救援模式，但这个模式下系统会要求你输入root密码来登录维护Shell。问题是，我们现在就是要重置root密码，密码要是能想起来还用得着折腾吗。所以单纯加 single 的做法在systemd时代往往把你带入一个尴尬的循环：进了单用户模式，还是要密码，进不去。
如果你试了发现能进去且不需要密码，那当然可以直接 passwd root；但我不建议把它作为首选方案，因为越新的系统，这条路的成功率越低。有一个变体更接近实际操作：在GRUB编辑界面，找到linux行，把行首的 ro 改成 rw，然后在行尾追加：
bash复制init=/sysroot/bin/sh
这种改法和 init=/bin/bash 类似，区别是直接用 /sysroot 下的sh作为init进程，系统会尝试挂载真实根分区到 /sysroot 后进入一个root shell。进入后先验证挂载情况，再决定要不要手动挂载，然后执行 passwd root。
5.2 用ISO镜像进入救援模式，适合系统引导损坏的情况
如果引导配置文件已经损坏到GRUB根本起不来，或者你在GRUB菜单界面反复尝试都无法启动，那么是时候用ISO镜像救援模式了。操作流程如下：
先确认ISO镜像已经挂载到虚拟光驱并勾选"启动时连接"，然后重启虚拟机。开机时按Esc或F2，进入引导菜单或BIOS设置，把启动顺序调整为光驱优先。如果VMware的引导菜单出来了，直接选择CD-ROM Drive启动。
进入麒麟系统的安装引导界面后，不要选正常安装，找到 Troubleshooting（排错）菜单，打开后选择 Rescue a installation system（救援已安装的系统）。系统会扫描磁盘并找到现有的Linux安装，然后提示你将系统挂载到 /mnt/sysimage。出现选择时，选 1（Continue），确认挂载成功。接着执行：
bash复制chroot /mnt/sysimage
passwd root
touch /.autorelabel
exit
reboot
救援模式本质上是借助安装镜像里的精简环境，把磁盘上真实的系统挂载到一个临时目录，再chroot进去操作。因为安装镜像带有完善的磁盘驱动和LVM工具，遇到复杂磁盘布局时反而比手动改GRUB参数更省心。缺点是需要准备对应架构的ISO镜像，整体流程也更长。
5.3 救援模式什么时候最值得用
我个人总结的经验是：如果GRUB还能正常显示、能编辑启动项，优先选择rd.break或init=/bin/bash；如果GRUB菜单已经进不去，或者系统引导彻底损坏，此时别再纠结精简方案，直接上ISO救援模式。另外，如果你在虚拟机里碰到过磁盘扩容或者重新分区后系统起不来的情况，救援模式也是顺手修引导（grub2-mkconfig、grub2-install）的好环境。
6. 常见问题与排查技巧实录
6.1 重置失败速查表
我在多次操作中积累了一些比较典型的故障现象和对应的解决办法，整理成表格供大家参考。
| 现象 | 可能原因 | 处理办法 |
|---|---|---|
| 开机按Shift/Esc始终进不了GRUB菜单 | 按键时机不对，或者系统UEFI引导速度太快 | 先在VMware控制台内点一下确保键盘焦点在虚拟机中，再快速连按Shift或Esc；多次尝试仍不行，可临时在VMware中延长固件等待时间启动 |
| 进入switch_root环境后执行mount -o remount,rw /sysroot报错 | 根目录正处于占用状态，或只读挂载的前提下，部分环境会出现提示 | 先执行 mount -o remount,rw /sysroot，多等等；如果还不行，用 chroot /sysroot 后挂载真实根目录为rw |
| 执行passwd时报Authentication token manipulation error | 文件所在分区仍为只读，或PAM配置异常 | 确认mount挂载状态，确保 /etc/shadow 所在根分区已经是rw；如果是只读，重新执行remount |
| 重置密码后重启，密码仍然是旧的 | 没有chroot就直接passwd，改的是initramfs内存里的shadow文件，而不是磁盘上真实系统的shadow | 重来一遍，必须chroot /sysroot（rd.break方法）或确认自己修改的是真实根目录（init=/bin/bash方法下先pwd确认） |
| 重启后走到一半卡住或登录后命令异常 | SELinux在enforcing模式下文件上下文错乱 | 在chroot环境执行 touch /.autorelabel，重启后耐心等待系统自动relabel完成 |
| 救援模式下检测不到现有系统 | 分区结构特殊，或系统使用了RAID但镜像缺少驱动 | 先进入交互式shell（救援界面会有选项），用fdisk -l/blkid手动查看磁盘和分区，再手动挂载并chroot |
| 在grub编辑界面键盘输入无效或乱按无反应 | 虚拟机控制台没有获得键盘焦点，或者键盘布局异常 | 鼠标直接点击虚拟机窗口内部，再重试按键；确保宿主机输入法处于英文状态 |
6.2 最容易翻车的细节：千万别改错了shadow文件
我见过太多人栽在这一步，包括我自己刚开始操作时也犯过。简单说，在rd.break环境中，如果你的操作顺序是先执行了 passwd root，然后再执行 chroot /sysroot，那么恭喜你，密码基本白改了。因为你改的是initramfs内存根文件系统里的 /etc/shadow，而真正生效的是磁盘上 /sysroot/etc/shadow。重启后内存文件被丢弃，一切回到原地。
怎么避免呢？养成一个好习惯：修改前和修改后都确认一下自己到底在哪个环境。
bash复制# 看当前根目录下的shadow
ls -l /etc/shadow
# 看真实分区的shadow
ls -l /sysroot/etc/shadow
# 如果两个文件inode不同，说明它们不是同一个文件，谨慎操作
执行chroot后，可以再用下面命令确认自己是处于真实根目录：
bash复制cat /etc/shadow | grep '^root'
看到的是磁盘上真实系统的shadow内容，修改才有意义。改完之后建议再 cat 一遍，确认root这一行的哈希值和之前相比确实发生了变化。
注意：如果你刚从chroot环境退出，正在
switch_root:/#提示符下，再次强调，此时输入passwd修改的是内存文件，不是磁盘文件。只有chroot /sysroot之后的passwd才是有效的。
6.3 修改完密码后，重启前还有哪些检查要顺手做
除了SELinux的autorelabel，我个人还会做三件事，能省去后面很多不必要的麻烦。
第一，检查一下挂载状态。如果是方法一和方法二，重启最好使用 reboot -f 强制重启，避免正常的systemd关机/重启流程在异常环境中卡住。如果是方法三救援模式，重启前记得退出chroot，并把ISO从光驱断开或者调整启动顺序为硬盘优先，否则重启可能又进到安装界面。
第二，记录一下修改时间，以便后续排查。重置密码后，可以通过查看shadow文件的修改时间，确认操作是否成功：
bash复制ls -l /etc/shadow
如果你知道修改前的时间，对比一下最直观。
第三，如果系统里有其他登录用户，重置密码后建议再看看近期登录记录，确认是否有异常登录行为：
bash复制last -x
journalctl -u sshd --no-pager
正常情况下，这个检查能帮你发现很多隐藏问题，比如sshd会不会因为端口配置过不去、有没有失败的暴力破解尝试。这一点在测试环境里尤其重要，因为虚拟机对外暴露了一个终端，密码重置完不等于彻底安全，系统基线检查和账号策略还是要跟上的。
6.4 重置成功后的日常习惯建议
最后分享几个在长期运维中沉淀下来的习惯，能帮你少踩坑。
一是不要把root密码设置成跟系统安装时一模一样的弱口令。很多人在虚拟机里图省事，用123456、root这类密码，遇到稍微扫描一下的测试网络就会被尝试爆破。虚拟机的网络隔离再严密，也挡不住粗心带来的风险。
二是日常尽量用普通用户 + sudo来执行管理命令。root密码只作为紧急维护通道，这样就算普通用户密码泄露，系统核心权限还在你手里。麒麟系统里创建普通用户、加入wheel组、配置sudo，都是很常规的操作。
三是定期给重要虚拟机拍快照，尤其是做系统变更、补丁升级、配置调整之前。快照是虚拟化给你的最大福利，成本极低，价值极高。我自己的习惯是一周一次常规快照，重大变更前必拍，这个习惯已经帮我至少省下几个通宵排查故障的时间。
最后再分享一个小技巧：如果你在VMware里怎么按Shift都进不去GRUB菜单，别急着怀疑键盘问题，先检查VMware控制台是否失去了焦点——用鼠标点一下虚拟机窗口内部，相当于把键盘输入交给虚拟机，然后再快速按键。这个细节看起来很小，实际操作中却是最常见的卡壳原因。
我自己实际操作下来的体会是：只要GRUB还能编辑，rd.break就是重置麒麟系统root密码最快、最稳的一条路，无论是x86还是ARM架构的麒麟环境都试过，基本没有失手的时候。反而是一开始很多教程强调的"加single进单用户"在现在的systemd环境下容易卡在密码提示上，白折腾好久。希望这篇文章能帮到被root密码卡住的朋友，也希望你们永远用不上它——但真用上的时候，记得先拍快照再动手。