CentOS修改密码报错token manipulation error的排查与修复指南

1次阅读

共计 2228 个字符，预计需要花费 6 分钟才能阅读完成。

在 CentOS 7/ 8 系统中，当我们尝试使用 passwd 命令修改用户密码时，有时会遇到如下错误提示：

passwd: Authentication token manipulation error
passwd: password unchanged

这个错误通常发生在密码修改的最后一步，系统无法将新密码写入到相关认证文件中。遇到这种情况，很多新手管理员会感到困惑，不知道从何下手排查问题。

Linux 系统使用 PAM（Pluggable Authentication Modules，可插拔认证模块）来处理认证相关任务。当执行 passwd 命令时，系统会调用 PAM 模块来完成密码修改流程。PAM 的配置文件位于 /etc/pam.d/ 目录下，其中 passwd 文件定义了密码修改的具体流程。

用户密码的哈希值存储在 /etc/shadow 文件中，这是一个高度敏感的系统文件。我们可以使用以下命令查看其权限：

ls -l /etc/shadow

正常情况下应该看到如下输出：

-r--------. 1 root root 1234 Jan 1 10:00 /etc/shadow

这表示该文件仅对 root 用户可读，其他用户没有任何权限。如果这个文件的权限不正确，就可能导致密码修改失败。

文件权限问题 ：/etc/shadow 或相关目录权限设置不当
SELinux 限制：安全策略阻止了密码修改操作
磁盘空间不足：系统无法写入密码信息
文件系统只读 ：/etc 目录被挂载为只读
PAM 配置错误 ：/etc/pam.d/passwd 文件被误修改

首先检查并修复 /etc/shadow 文件的权限：

# 确保文件所有者为 root 且权限为 400
sudo chmod 400 /etc/shadow
sudo chown root:root /etc/shadow

# 同时检查 /etc/shadow- 备份文件和 /etc 目录权限
sudo chmod 600 /etc/shadow-
sudo chmod 755 /etc

风险提示：此操作需要 root 权限，错误的权限设置可能导致系统安全问题。

比较正常的 /etc/pam.d/passwd 文件内容：

# 正常配置示例
cat /etc/pam.d/passwd

# 输出应包含类似内容
#%PAM-1.0
auth       include      system-auth
account    include      system-auth
password   substack     system-auth

如果发现配置被修改，可以从备份恢复或手动修复：

# 从备份恢复
sudo cp /etc/pam.d/passwd- /etc/pam.d/passwd

# 或者手动编辑
sudo vi /etc/pam.d/passwd

如果 PAM 验证问题暂时无法解决，可以使用 chage 命令直接修改密码过期信息，间接实现密码修改：

# 设置密码过期，强制用户下次登录修改密码
sudo chage -d 0 username

永远不要直接编辑 /etc/shadow 文件
修改前先备份：sudo cp /etc/shadow /etc/shadow.bak
使用 vipw 或vigr等专用工具编辑密码文件

为避免频繁切换到 root，可以配置 sudo 规则：

# 允许 wheel 组成员执行密码修改
%wheel ALL=(ALL) /usr/bin/passwd, !/usr/bin/passwd root

配置 auditd 监控对关键文件的访问：

# 监控 /etc/shadow 访问
sudo auditctl -w /etc/shadow -p wa -k shadow_access

pwconv：将密码从 /etc/passwd 转移到/etc/shadow
pwunconv：反向操作（不建议使用）

编辑 /etc/pam.d/system-auth 文件，添加：

password requisite pam_pwquality.so try_first_pass local_users_only retry=3 minlen=8 lcredit=-1 ucredit=-1 dcredit=-1 ocredit=-1

graph TD
    A[遇到 token manipulation error] --> B[检查 /etc/shadow 权限]
    B -->| 权限正常 | C[检查磁盘空间]
    B -->| 权限异常 | D[修复权限]
    C -->| 空间足够 | E[检查 PAM 配置]
    C -->| 空间不足 | F[清理磁盘]
    E -->| 配置正常 | G[检查 SELinux]
    E -->| 配置异常 | H[修复 PAM 配置]
    G -->|SELinux 阻止 | I[临时禁用或调整策略]
    G -->|SELinux 正常 | J[使用 chage 命令]