共计 1560 个字符，预计需要花费 4 分钟才能阅读完成。
背景与痛点
在 CentOS7 系统中，修改用户密码是系统管理中的常规操作。然而，许多管理员在执行 passwd 命令时，会遇到 Authentication token manipulation error 错误，导致密码更新失败。这种错误不仅影响日常系统管理，还可能带来安全隐患，尤其是在紧急情况下需要修改密码时。
该错误通常发生在以下场景：
- 使用
passwd命令修改普通用户或 root 用户密码 - 通过脚本或自动化工具批量修改用户密码
- 在系统升级或配置变更后尝试修改密码
错误原因分析
1. PAM 工作机制
PAM（Pluggable Authentication Modules）是 Linux 系统中用于认证的核心模块。当修改密码时，PAM 会调用相关的模块进行验证和更新操作。如果 PAM 配置文件中存在错误或模块路径不正确，就会导致认证失败。
2. /etc/shadow 文件权限问题
/etc/shadow文件存储了用户的加密密码，其权限设置非常严格。如果该文件的权限被意外修改，或者所属用户 / 组不正确，就会导致密码修改失败。
3. SELinux 安全上下文配置
SELinux 是 CentOS7 中的强制访问控制机制。如果 /etc/shadow 文件的安全上下文被破坏，或者 SELinux 策略限制了对该文件的访问，也会引发此错误。
解决方案
1. 检查并修复 /etc/shadow 文件权限
首先检查 /etc/shadow 文件的权限和所属用户 / 组：
# 查看文件权限
ls -l /etc/shadow正确的权限应该是-rw------- 1 root root。如果权限不正确，使用以下命令修复：
# 修复文件权限
chmod 600 /etc/shadow
chown root:root /etc/shadow2. 调整 PAM 配置
检查 /etc/pam.d/system-auth 文件，确保密码修改相关的 PAM 模块配置正确。特别是 pam_unix.so 模块的路径：
# 编辑 PAM 配置文件
vi /etc/pam.d/system-auth查找类似以下内容的行：
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok确保路径正确，模块参数合理。修改后保存文件并测试密码修改。
3. SELinux 相关命令
如果怀疑是 SELinux 导致的问题，可以尝试以下命令：
# 检查文件安全上下文
ls -Z /etc/shadow
# 恢复默认安全上下文
restorecon -v /etc/shadow
# 如果问题仍然存在，可以临时将 SELinux 设为 permissive 模式
setenforce 0注意：在生产环境中，不建议长期使用 permissive 模式，应尽快找到并修复根本原因。
避坑指南
-
生产环境最佳实践
-
修改密码前备份相关配置文件
- 使用
sudo而不是直接切换到 root 用户操作 -
在非高峰期进行密码修改操作
-
避免锁定 root 账户
-
确保至少有一个可用的 root 访问方式（如 SSH 密钥）
- 在修改 root 密码前测试新密码
-
考虑使用
usermod命令而非passwd进行批量修改 -
密码策略与 PAM 模块配置
-
定期检查 PAM 模块的更新和兼容性
- 保持密码策略与 PAM 配置的一致性
- 使用
pam_tally2等模块防止暴力破解
验证方法
- 测试密码修改是否生效
# 切换到目标用户测试
su - username- 查看关键日志文件
# 查看认证相关日志
tail -f /var/log/secure日志中会记录密码修改的详细过程和可能的错误信息。
延伸思考
如何设计自动化脚本来预防此类问题？可以考虑以下方向：
- 定期检查
/etc/shadow文件权限的监控脚本 - PAM 配置文件变更的版本控制和差异检测
- SELinux 策略的自动化审计和修复
- 密码修改操作的预检查机制
通过系统化的预防措施，可以大大减少此类问题的发生频率，提高系统管理的可靠性。
