共计 1431 个字符，预计需要花费 4 分钟才能阅读完成。
错误背景与典型场景
在 CentOS7 系统中执行 passwd 命令修改密码时，系统突然抛出 Authentication token manipulation error 错误并拒绝更新密码。这种情况常出现在：
- 系统管理员定期维护时
- 新用户账户初始化过程中
- 安全审计后的密码策略调整期
- 系统异常重启后的恢复操作
错误根源深度分析
1. PAM 模块配置异常
Linux 的认证体系依赖于 PAM 模块栈，当 /etc/pam.d/passwd 中配置的模块无法正常处理密码变更请求时（如缺少 pam_unix.so 模块），就会触发此错误。
2. /etc/shadow 文件权限问题
检查关键命令：
# 查看文件权限
ls -l /etc/shadow
# 预期结果应为：-rw-r----- 1 root shadow若权限异常（如误设 777），会导致 PAM 系统拒绝操作。
3. SELinux 安全上下文
使用以下命令诊断：
# 检查安全标签
ls -Z /etc/shadow
# 应显示：system_u:object_r:shadow_t:s0上下文错误会导致访问被拒绝。
4. 文件系统挂载异常
执行检查：
# 查看挂载状态
df -h /etc/
# 检查是否以只读 (ro) 方式挂载
mount | grep "on /"根目录只读挂载时无法修改密码文件。
多层次解决方案
方案 1：修复 PAM 配置（推荐首选）
-
备份原配置：
cp /etc/pam.d/passwd /etc/pam.d/passwd.bak -
验证标准配置应包含：
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok -
恢复默认配置：
authconfig --restoredefaults
方案 2：修正文件权限
关键操作步骤：
# 重置权限
chmod 640 /etc/shadow
# 修正属组
chown root:shadow /etc/shadow
# 特别情况处理（如 ACL 存在时）setfacl -b /etc/shadow方案 3：SELinux 故障排除
分步处理：
# 临时进入宽容模式（测试用）setenforce 0
# 永久修复安全上下文
restorecon -v /etc/shadow
# 恢复强制模式
setenforce 1方案 4：处理挂载问题
对于 ro 挂载的紧急处理：
# 重新挂载为读写
mount -o remount,rw /
# 检查 /etc/fstab 配置
blkid | grep `df / --output=source | tail -1`生产环境避坑指南
绝对禁止的操作
- 直接
chmod 777 /etc/shadow - 关闭整个 SELinux 防护
- 使用
--skip-pam等危险参数
推荐做法
- 实施配置变更前进行备份
- 使用
getfacl保存 ACL 备份 - 通过
audit2allow分析 SELinux 拒绝日志 - 建立密码修改的监控报警
解决方案验证方法
验证密码修改成功：
# 测试密码修改
echo "new_password" | passwd --stdin username
# 验证认证
su - username
# 检查系统日志
tail -f /var/log/secure长效预防机制
建议建立以下监控点：
1. 定期校验 /etc/shadow 权限（可通过 Zabbix 等工具）
2. 监控 PAM 配置文件的 MD5 值变化
3. 记录所有 passwd 命令执行日志
4. 对认证相关系统调用失败进行告警
通过本文介绍的多维度分析和解决方案，您应该能够快速定位并解决 CentOS7 系统中的密码修改故障。建议将关键检查步骤纳入日常运维巡检清单，防患于未然。
正文完
