共计 1159 个字符，预计需要花费 3 分钟才能阅读完成。
错误背景与常见场景
在日常运维中，我们有时会遇到需要重置 CentOS 系统 root 密码的情况。特别是在接手旧系统或遗忘密码时，这是一个常见的操作需求。然而，在 CentOS7.6 系统中，使用 passwd 命令重置 root 密码时，可能会遇到 ”authentication token manipulation error” 的错误提示。这个错误通常发生在以下几种场景：
- 系统启动到单用户模式后尝试修改密码
- 通过救援模式挂载系统分区后修改密码
- 在正常系统运行状态下修改 root 密码
错误原因深度分析
这个错误的核心原因是系统无法更新用户认证令牌。经过实践和分析，我们发现主要可能由以下几个因素导致：
- 文件系统权限问题 ：/etc/shadow 文件权限被修改，导致 root 用户无法写入
- 磁盘空间不足 ：/etc/ 目录所在分区空间耗尽，无法创建临时文件
- 文件系统只读挂载 ：特别是在救援模式下，可能忘记重新挂载为可写
- SELinux 安全上下文 ：关键文件的 SELinux 上下文被破坏
- 文件锁定 ：某些系统进程可能锁定了相关文件
完整的解决方案步骤
检查文件系统权限
- 确认 /etc/shadow 文件权限是否为 400 或 440
ls -l /etc/shadow - 如果权限不正确，使用以下命令修复：
chmod 400 /etc/shadow
检查磁盘空间
- 查看 / 分区使用情况：
df -h / - 如果空间不足，需要清理磁盘空间或扩展分区
正确的密码重置流程
- 重启系统，在 GRUB 菜单界面按 ”e” 编辑启动项
- 找到以 ”linux16″ 开头的行，在行尾添加 ”rd.break”
- 按 Ctrl+ X 启动到紧急模式
- 重新挂载根文件系统为读写：
mount -o remount,rw /sysroot - 切换根目录：
chroot /sysroot - 修改密码：
passwd root - 如果系统启用了 SELinux，需要创建标记文件：
touch /.autorelabel - 退出并重启：
exit reboot
生产环境中的避坑指南
在实际生产环境中，处理此类问题时需要特别注意：
- 操作前确保有系统备份，特别是关键配置文件
- 在虚拟化环境中，可以先创建快照再进行操作
- 对于远程服务器，确保有带外管理方式 (如 iDRAC/iLO)
- 修改密码后，及时更新相关自动化工具的凭证
- 检查审计日志，确认密码修改操作的合法性
总结与进一步学习建议
通过本文的分析和解决方案，我们了解到 ”authentication token manipulation error” 错误的多种可能原因和解决方法。在实际操作中，建议按照以下顺序排查：
- 检查文件权限
- 确认磁盘空间
- 验证挂载状态
- 检查 SELinux 状态
对于想深入了解的用户，建议进一步学习：
- Linux PAM(可插拔认证模块) 机制
- /etc/shadow 文件格式与加密算法
- SELinux 策略管理
- Linux 文件系统权限模型
掌握这些知识将帮助你更好地理解和处理类似系统认证问题。
正文完
