银河麒麟V10密码遗忘？单用户模式+passwd快速重置

简介：针对银河麒麟桌面操作系统用户忘记登录密码而无法进入系统的场景，这份PDF操作手册完整梳理了通过单用户模式重置登录密码的具体方案。手册共包含一个PDF文件，压缩包大小约327KB，内容从启动主机进入grub界面开始，逐步演示如何编辑启动项：在linux行的末尾追加console=tty0 init=/bin/bash参数，再按Ctrl+X或F10键进入单用户模式；随后使用passwd命令输入并确认新密码，最后借助reboot -f命令或Ctrl+Alt+Delete组合键强制重启使修改生效。操作说明同时覆盖X86架构与ARM架构，并配有界面示意和注意事项，例如进入单用户模式后屏幕会短暂黑屏，等待片刻即可，避免用户误以为是故障；同时提醒在安全环境下谨慎操作，遇到问题可参考手册注释或联系技术支持。目前已有1024人学习下载，适合系统管理员、运维人员以及遇到密码遗忘问题的普通用户作为应急维护的实用参考。

1. 银河麒麟桌面V10(sp1)用户密码忘了：单用户模式是最快的后悔药

银河麒麟桌面V10(sp1)的用户密码忘记时，不用急着重装系统。进入单用户模式，用passwd命令重置密码，是这套系统里最直接的后悔药——从开机到回到桌面，一般十分钟内能搞定。我最早意识到这个流程的重要，是在处理一台快过保的办公电脑交接问题时：前任管理员给root和普通用户都设了不透明密码，现场所有人都知道开机解锁口令，但没人知道登录密码。后来凡遇到这类「看得见桌面却进不去系统」的场景，我都会先确认机器能不能进GRUB引导菜单，能进GRUB，就按这条路线走。这篇文章写给两类人：需要批量帮用户救密码的桌面运维，以及自己电脑密码突然失效的个人用户。全程不需要准备U盘，不需要拆机，也不需要任何外部工具。

2. 进入单用户模式的两种方法：GRUB内核参数与systemd救援目标

银河麒麟桌面V10(sp1)的引导链路是：开机BIOS/UEFI固件 → GRUB2引导菜单 → Linux内核 + initramfs → systemd初始化。平时我们看到的登录界面，是由systemd拉起图形会话后呈现的。所谓「单用户模式」，本质上是绕过systemd，让内核在启动时直接拉起一个root shell——这个shell默认不校验任何密码，所以root的登录密码即使彻底忘了，也不影响你进到系统里修东西。

需要先说明一个边界：银河麒麟桌面版不像老Unix那样有运行级别1（init 1），它的单用户效果要靠GRUB传参或systemd target来实现。下文两种方法，第一种最彻底，适合root密码也忘掉的情况；第二种保留systemd外设初始化，适合USB键盘在纯bash下失灵的情况，但前提是root密码你还能记得。

2.1 方法一：开机按E编辑GRUB，用init=/bin/bash直达root shell

操作流程是这样的：开机看到GRUB引导菜单（通常是带麒麟Logo的黑白菜单）时，用上下键选中默认的启动项，按下键盘上的字母E，进入启动参数编辑界面。在这个界面里，找到以linux开头的那行，行首一般是linux /boot/vmlinuz-...，后面跟着root=UUID=...、ro、splash、quiet这一串参数。把鼠标光标移到该行行尾，先敲一个空格，然后追加init=/bin/bash。

如果这台机器开启了磁盘加密，GRUB阶段会先出现解锁磁盘的提示，输入解密密码后才能进入编辑；如果加密密码也忘了，直接跳到第5章的5.5节，那里有说明。编辑完参数后，按Ctrl+X或F10启动，系统不会再走正常的systemd流程，而是直接落进一个root bash命令行界面。

# 进入bash后的第一件事：确认根分区的挂载方式 findmnt / # 如果OPTIONS列显示 ro，表示根分区是只读，需要重新挂载为rw mount -o remount,rw / # 查看当前身份，确认已是root id

这里解释一下为什么必须检查挂载方式。linux那行参数里默认带着ro，内核按只读方式挂载根分区。passwd命令要往/etc/shadow里写密码哈希，只读文件系统下这个写入会失败，报错信息还特别容易让人误判。findmnt /的输出里，OPTIONS列如果带着rw就说明可写；如果显示ro，就用mount -o remount,rw /重新挂载。remount的意义不是再挂一块盘，而是对已挂载的文件系统原地切换挂载选项，这里把只读切换成读写。

还有一个细节容易卡新手：单用户模式的bash环境很简陋，PATH可能不完整。如果敲passwd提示command not found，先补一下PATH再继续。

export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin passwd --help

2.2 方法二：不碰内核启动参数，用systemd的rescue.target

init=/bin/bash的缺点是它绕过了systemd，导致一部分硬件服务没有启动。在我的实际经验里，最典型的问题是USB键盘在纯bash环境下失灵——后面第5.4节会详细说。如果你进的是带systemd的救援模式，外设驱动照常初始化，键盘问题基本不会出现。

具体操作：同样在GRUB编辑界面，找到linux开头的那行，行尾追加systemd.unit=rescue.target，然后按Ctrl+X或F10启动。这里的关键差异在于：rescue.target会要求输入root密码才能给出root shell。所以这个方法适用于「普通用户的密码忘了，但root密码还记得」的场景；如果root密码也一起忘了，用rescue.target会在登录提示面前卡死，只能回到2.1的init=/bin/bash方案。

进入后的环境变量完整，passwd、findmnt这些命令都能直接用。但根分区的只读问题依然存在，Linux行里的ro照样会生效，所以还是要执行一次mount -o remount,rw /。考虑到银河麒麟V10(sp1)默认的登录界面隐藏了root入口，运维在固定维护机上给普通用户改密码，用rescue.target更稳，至少你不会在改密码的半路碰到键盘失灵的尴尬。

2.3 磁盘加密下的特殊处理：先解锁再谈改密码

银河麒麟桌面版在安装阶段如果勾选了磁盘加密，开机后GRUB加载完引导镜像，会先停在一个「请解锁磁盘」的界面。这个锁的意思是：根分区数据整体用LUKS加密了，内核必须拿到解密口令才能读取真正的文件系统。此时你还没进到任何bash环境，init=/bin/bash根本没机会执行。

在这种加密前提下，能做的事只有一件：在解锁界面正确输入加密磁盘的口令。这个口令和用户登录密码是两个独立体系——很多人拿用户密码去解锁，会一直提示失败，然后困惑「为什么单用户模式也进不去」。如果磁盘解密口令也忘了，单用户流程到头，我能给的现实建议是翻安装时生成的恢复密钥备份，或者确认是否配置过TPM自动解锁；都没有的话，只能走数据恢复和重装路线，这不是单用户模式的职责范围。

进入bash后，加密卷会映射在/dev/mapper下，根分区的挂载点照样在/上。这时findmnt /看到的SOURCE会是一个dm设备名，而不是普通分区名。mount -o remount,rw /的操作不变，改密码的后续流程照常进行——磁盘加密只做整体数据保护，不拦截已经解锁的根分区写入。

3. 用passwd重置密码前的三个准备：只读挂载、SELinux上下文、密码锁定状态

从单用户模式落到root bash之后，理论上可以直接敲passwd 用户名改密码。但直接敲成功的前提，是系统已经满足三个条件：根分区可写、安全模块不拦写入、目标用户没被锁定。这三件事里任何一件没做，passwd都会以各种姿势失败。本节把三件事拆开讲清楚，避免你在黑匣子里瞎试。

3.1 修复只读根分区：mount -o remount,rw / 的标准动作

ro参数是银河麒麟安装器在写GRUB配置时固定带上的，原因很简单：正常启动流程里，systemd会在挂载根分区后做一次只读→读写的状态切换；但init=/bin/bash绕过了systemd，内核按ro挂载后，没人再去切换它。所以每次进单用户模式，第一件事不是改密码，而是验证根分区状态。

# 一条命令确认挂载状态 findmnt -no SOURCE,FSTYPE,OPTIONS / # 看到 ro 则立即切读写 mount -o remount,rw / # 验证切换成功 findmnt -no OPTIONS /

findmnt的-no参数是「不打印标题，只输出字段」，这里指定了设备、文件系统类型、挂载选项三个字段。执行完remount后，OPTIONS列应该出现rw。如果remount报了target is busy，通常是有进程占用了根分区文件，先执行sync再重试一次。实在不行，用exec /sbin/init让systemd接管后再remount——但那样就从单用户跳回正常启动了，一般不走到那一步。

3.2 passwd命令的完整用法与验证：别只盯着回车

根分区可写之后，正式执行修改：

# 修改root用户密码 passwd root # 修改普通用户密码，比如zhangsan passwd zhangsan

执行passwd后会交互式提示输入两次新密码，输入的时候终端不回显，这是正常现象，别以为键盘没反应。密码设多长、要不要大小写数字混用，取决于系统里PAM的密码策略配置。银河麒麟桌面版默认启用了密码复杂度检查，太短的、纯数字的、和用户名相同的密码会被直接拒绝。我的建议是第一次设一个符合规范的强密码，比如Kylin@2024op，先保证能进系统，进去后再用passwd改成自己顺手的——不要幻想用123456能骗过PAM。

改完之后立刻验证写入结果：

# 查看root密码状态：P表示有密码，L表示锁定，NP表示无密码 passwd -S root # 确认shadow里第二字段以$6$或$1$开头，而不是!或* awk -F: '$1=="root"{print $1, $2}' /etc/shadow

这里有个常见误区：/etc/shadow里第二字段是密码哈希，不是明文密码。看到$6$开头说明哈希由SHA512算法生成，属正常。如果这个字段以!开头或者只有一个*，说明该用户处于锁定状态——这时候passwd改了也白改，登录界面照样登不进，必须先解锁。解锁命令是passwd -u 用户名，用root身份执行即可。

3.3 SELinux上下文与shadow锁：两个不显眼但容易翻车的细节

银河麒麟桌面版默认不强制开启SELinux，但部分安全加固过的系统可能在安装时启用了。区别在于：SELinux强制模式下，passwd虽然能写入/etc/shadow，但新写入的文件上下文标签可能和原有文件不一致，重启后系统可能拒绝用这个文件做认证。进单用户后先检查一下再动手：

# 没有getenforce命令或输出Permissive/Disabled，可跳过本节 getenforce

如果输出是Enforcing，那修改完密码后需要补一步：在根目录创建一个标签重打标记文件，让SELinux在下次启动时重新校准所有文件上下文。这一步在不同系统上的文件名不完全一样，银河麒麟风格下我用的是touch /.autorelabel。执行完这个再sync、重启。没有启用SELinux的机器不需要做，做了也没有副作用。

另一个翻车点是锁文件。passwd依赖/etc/.pwd.lock和PAM的锁机制来防止多个进程同时写shadow。如果上一次系统是非正常关机，锁文件可能残留在磁盘上。现象是：执行passwd后提示Authentication token lock busy，然后卡住。处理方式很直接，先看是哪个进程占着，没有进程残留就直接删掉锁文件再重试：

ls -la /etc/.pwd.lock /run/lock/passwd.lock 2>/dev/null rm -f /etc/.pwd.lock /run/lock/passwd.lock passwd root

删锁这件事看着粗暴，但单用户模式下系统里只有你一个会话，锁文件的保护意义不大，放心操作。

4. 从单用户到桌面：重启流程、登录验证与日志检查

密码写进shadow之后，剩下的事是把系统从单用户状态切回正常启动。很多人在这一步翻的车比改密码环节还多，根源在于不理解init=/bin/bash把一号进程变成了bash，systemd从没被拉起来过。这时候敲reboot，指令根本找不到协调关机的init进程，或直接卡死。根治办法认清这一点之后，选项就清楚了：要么把init交还回去，要么强制重启绕过协调流程。

4.1 安全退出单用户：exec /sbin/init 还是 reboot -f

在init=/bin/bash的会话里，我推荐的标准收尾步骤是这样：

# 确保所有写入都落到磁盘 sync # 把1号进程交还给init/systemd，让系统按正常目标继续启动 exec /sbin/init

sync的作用是把内存里的脏数据强制刷入磁盘，防止刚写好的密码哈希因断电丢失。exec /sbin/init会用init进程替换当前bash进程，这样一号进程就变回init，系统会沿正常启动链路继续跑，最终停到登录界面。这个过程不需要关机重启，实际是「接着刚才的引导继续走」。

如果exec /sbin/init没有反应或卡住，唯一可靠的兜底是用强制重启：

sync exec /sbin/reboot -f

-f参数意思是force，跳过shutdown协调，直接触发内核重启。注意别敲成不带-f的reboot——那会再次尝试联系不存在的systemd，然后毫无反应。这两条命令在单用户模式下是互补关系，exec /sbin/init是优雅路径，reboot -f是急诊路径。

4.2 重启后第一件事：从登录界面验证新密码

重启完成后，系统会回到正常的图形登录界面。此时输入刚才设置的新密码验证登录。这里有一个容易踩的坑：如果你重置的是root密码，图形登录界面通常不会让你直接用root登录——银河麒麟桌面版默认隐藏了root入口。这不代表密码没改成功，换个普通用户登录，然后开终端里执行su -切到root，输入刚才的新root密码验证。

如果登录被拒绝，先不要急着怀疑密码输错，回到单用户模式看看shadow状态。我在3.2节里的passwd -S命令就是为这一刻准备的。登录失败的典型场景有两个：一是密码哈希没有正确写入shadow，二是用户被锁定。前者重跑一遍passwd 用户名；后者用passwd -u 用户名解锁后重试。

4.3 用日志确认密码修改是否生效：auth.log与journalctl双验证

系统跑起来以后，我习惯顺手查一下认证日志，确认密码修改事件确实被记录了，顺便排除异常登录。银河麒麟桌面版的认证日志默认写在/var/log/auth.log，这是Debian/Ubuntu系路径；部分服务器版或定制镜像可能用/var/log/secure。两个路径都存在时，以实际写入的那个为准。

# 查看最近一次密码认证事件 grep passwd /var/log/auth.log | tail -10 # 查看最近一次成功登录的来源IP grep "Accepted password" /var/log/auth.log | tail -5 # 如果是systemd管理的服务，也看journal journalctl --since "10 minutes ago" | grep -E "passwd|sudo"

grep passwd /var/log/auth.log匹配的不只是密码修改行为，还包括PAM认证过程。Accepted password这种行才是登录成功事件，重点看来源IP和目标用户是否正常。如果发现有未知IP的Accepted password，说明这台机器可能已被远程登录过——改完密码后要立刻检查有没有被种下后门或定时任务。这一步在给客户机器做密码重置时尤其重要，日志确认后，整个流程才算闭环，不然你只改了自己这边的密码，没法证明系统是干净的。

5. 单用户改密码避坑：5条血泪经验

这章汇总我在真实环境里踩过和围观过的坑。每一条都按现象→原因→解决来写，你在现场遇到同款情况时对号入座即可。

5.1 只读文件系统报错：passwd提示错误但没退出

现象：进入单用户bash后直接执行passwd root，系统提示can't open /etc/shadow或Read-only file system，输入密码后不见成功提示。原因：根分区还挂在ro状态，passwd往shadow写哈希时被内核拒绝。解决：先执行findmnt /确认OPTIONS列，看到ro就mount -o remount,rw /，然后重新执行passwd。

5.2 重启后再登登不进：shadow字段没写入或用户锁定

现象：改完密码后正常重启，登录界面输入新密码一直提示错误。原因：要么passwd执行后没有实际写入（比如前一条的只读问题没被发现），要么用户本来就被锁定，shadow第二字段是!开头。解决：重新进单用户，awk -F: '$1=="用户名"{print $2}' /etc/shadow看第二字段；以$开头说明密码在，以!开头说明锁定，需要passwd -u 用户名解锁后再试。改完记得sync。

5.3 reboot卡死黑屏：init进程被bash顶掉了

现象：单用户模式下敲reboot，屏幕卡住不动，SysRq按键也没反应。原因：init=/bin/bash把1号进程变成了bash，reboot工具尝试联络systemd完成服务关闭流程，但systemd从来没被启动，于是命令挂在等待上。解决：不要硬等，按电源键强制关机后重新进入单用户，收尾时先用sync，再exec /sbin/init优雅交还，或者直接exec /sbin/reboot -f强制重启。

5.4 USB键盘在单用户模式失灵：纯bash环境没人初始化外设

现象：GRUB界面键盘还能用，进了init=/bin/bash的shell后只有电源灯亮，按键全部无效。原因：bash模式跳过systemd，USB HID设备没有用户态服务拉起，某些主板固件也不负责全部USB初始化，老机器上尤其常见。解决：优先换PS/2圆口键盘；没有PS/2口时，改用systemd.unit=rescue.target进救援模式——前提是root密码没忘。如果你既没有PS/2键盘又没有root密码，用U盘启动器做一个live系统，挂载硬盘去改shadow，那是另一套流程了。

5.5 LUKS加密磁盘拦路：单用户模式也进不去

现象：开机GRUB之后停在一个解锁磁盘界面，输入什么密码都提示错误，进不去bash。原因：安装时开了全盘加密，根分区被LUKS保护，解密口令和用户口令是两个不同体系的凭据。解决：回看安装时的加密口令；有恢复密钥文件就从其他机器拷到U盘，在这个界面选恢复密钥解锁。如果这两个都没有，单用户模式救不了，只能接受重装代价。不要重复尝试用户密码，这一步的失败是必然的。

6. 不止改密码：批量重置、密码策略与安全收尾

把单用户模式练熟之后，你会发现它不只是「忘记密码时的后悔药」。系统交给新人接手、安全整改要求全员换密码、或者运维审计要求定期轮换口令时，同一套流程稍微变通一下就能批量处理，效率高得多。

批量场景下，passwd的交互式输入反而啰嗦，我用的是chpasswd。它在单用户模式和正常root终端里都能工作，一次性从标准输入读取用户名:密码格式的文本，逐个写入shadow：

# 批量重置：把三行密码一次性写入 for u in zhangsan lisi wangwu; do echo "$u:KySec@$(date +%Y)" done | chpasswd # 从文件读取用户与密码，适合几十个账号的场景 chpasswd < reset_list.txt

chpasswd的输入格式很严格，每行一个用户，冒号分隔。文件里不要有多余空格，密码里也不要带冒号。批量执行前，先单独挑一个测试账号跑一遍，确认密码策略接受后再全量执行，否则PAM会把弱密码全部弹回去。

密码轮换不能只改哈希，配合chage设置过期策略才能形成闭环。常用参数我整理了一张表：

我把chage写进收尾流程，是因为只改密码不设过期的话，下个季度又得有人爬到机房里应急。设个90天最长使用期，等于给密码管理上了个闹钟。

安全收尾的另半边是日志核对。密码重置属于高敏感操作，干完之后我固定会看一眼/var/log/auth.log里有没有异常登录记录，顺手检查root的SSH公钥有没有新增条目。一次正常重置应该只留下你自己产生的认证记录；如果多出来未知IP的Accepted password，说明改密码之前系统已经被人动过了，要把这个信号同步给相关方再收工。

做密码重置这事，最怕的不是流程不会，而是改完不验证就甩手。我自己在给客户机处理完每一次重置后，都会在单用户里确认passwd -S状态、重启后在登录界面完整走一遍登录、再翻一遍日志，三步一条线拉完才敢说完工。这个习惯救过我两次：一次是改完密码用户当天说登不进，一查是shadow字段本身带了特殊字符没写干净；另一次是查日志时发现机器被异地登录过，改密码只是补救的开始。密码恢复这条路走通一次不难，难点在于每次都能走完流程，不给自己留隐患。希望帮到你。

本文还有配套的精品资源，点击获取