CentOS7密码修改实战：解决authentication token manipulation error的完整指南

1次阅读

共计 2289 个字符，预计需要花费 6 分钟才能阅读完成。

在 CentOS7 系统中修改用户密码时，经常会遇到 authentication token manipulation error 错误。这个错误通常发生在尝试使用 passwd 命令更改用户密码时，系统无法完成密码更新操作。这个问题不仅影响普通用户，也可能影响系统管理员进行账户管理，特别是在自动化脚本或远程管理场景中。

这个错误的核心原因是 PAM（Pluggable Authentication Modules）认证机制在执行密码修改操作时遇到了问题。具体可能包括：

/etc/shadow文件权限不正确
SELinux 安全上下文配置错误
PAM 模块配置存在问题
磁盘空间不足或文件系统只读

首先检查 /etc/shadow 文件的权限：
```
ls -l /etc/shadow
```
正确的权限应该是-rw-------，所有者是 root。
如果权限不正确，使用以下命令修复：
```
chmod 600 /etc/shadow
chown root:root /etc/shadow
```
对于 SELinux 环境，还需要检查安全上下文：
```
ls -Z /etc/shadow
```
确保输出中包含 shadow_t 类型。

尝试使用 --stdin 参数从标准输入设置密码：
```
echo "newpassword" | passwd --stdin username
```
如果系统不支持 --stdin 参数，可以使用以下替代方法：
```
(echo "newpassword"; sleep 1; echo "newpassword") | passwd username
```

使用 chpasswd 命令可以避免直接操作敏感文件：
```
echo "username:newpassword" | chpasswd
```
对于批量修改密码的场景：
```
cat password_list.txt | chpasswd
```
其中 password_list.txt 包含格式为 username:password 的行。

以下是一个完整的密码修改脚本示例，包含错误处理和日志记录：

#!/bin/bash

USERNAME="testuser"
NEW_PASSWORD="SecurePass123!"

# 检查用户是否存在
if ! id "$USERNAME" &>/dev/null; then
    echo "Error: User $USERNAME does not exist"
    exit 1
fi

# 尝试修改密码
echo "Attempting to change password for $USERNAME"
if echo "$NEW_PASSWORD" | passwd --stdin "$USERNAME" &>/dev/null; then
    echo "Password changed successfully for $USERNAME"
    exit 0
else
    echo "Failed to change password using passwd --stdin, trying alternative methods"

    # 尝试 chpasswd 方法
    if echo "$USERNAME:$NEW_PASSWORD" | chpasswd &>/dev/null; then
        echo "Password changed successfully using chpasswd"
        exit 0
    else
        echo "All password change methods failed"
        echo "Checking system configuration..."

        # 检查文件权限
        echo "/etc/shadow permissions:"
        ls -l /etc/shadow
        echo "SELinux context:"
        ls -Z /etc/shadow

        exit 1
    fi
fi

避免直接编辑 /etc/shadow 文件：手动编辑这个文件可能导致系统无法验证用户，甚至锁住所有账户。
密码复杂度要求：CentOS7 默认有密码复杂度策略，确保新密码符合要求（长度、字符种类等）。
SELinux 干扰 ：如果启用了 SELinux，错误的上下文可能导致操作失败。可以使用restorecon 命令修复：
```
restorecon -v /etc/shadow
```
磁盘空间检查 ：确保/etc 分区有足够空间，使用 df -h 检查。
文件系统状态：检查文件系统是否为只读模式：
```
mount | grep "/"
```