共计 2177 个字符，预计需要花费 6 分钟才能阅读完成。

错误背景与常见场景

在 CentOS 系统管理中，使用 passwd 命令修改用户密码时，偶尔会遇到 token manipulation error -i 的报错。这个错误通常发生在以下场景中：

• 普通用户尝试修改自己的密码
• 管理员尝试为其他用户重置密码
• 通过自动化脚本批量修改密码时

错误出现后，系统会拒绝密码更新，并显示类似如下的提示：

passwd: token manipulation error -i
passwd: password unchanged

错误原因的技术分析

这个错误的核心原因是系统在修改密码时，无法完成必要的安全令牌操作。具体可能涉及以下几个方面：

1. PAM 配置问题
2. Pluggable Authentication Modules (PAM)配置不正确

3. 缺少必要的 PAM 模块或模块参数错误

4. 文件权限问题

5. /etc/shadow文件权限设置不当
6. /etc/passwd文件权限问题

7. /etc/security目录权限异常

8. SELinux 上下文问题

9. 安全上下文配置错误导致访问被拒绝

10. SELinux 策略过于严格

11. 系统资源限制

12. 内存不足导致无法完成操作
13. 进程数达到上限

多种解决方案的详细步骤

方法一：检查并修复 PAM 配置

1. 首先备份当前的 PAM 配置：

   sudo cp /etc/pam.d/passwd /etc/pam.d/passwd.bak

2. 检查 /etc/pam.d/passwd 文件内容，确保包含以下行：

   password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok

3. 如果文件损坏或配置错误，可以从相同版本的其他系统复制或使用以下命令恢复默认设置：

   sudo yum reinstall pam -y

方法二：验证并修复文件权限

1. 检查关键文件的权限：

   ls -l /etc/shadow
   ls -l /etc/passwd
   ls -ld /etc/security

2. 正确的权限应该是：

   -rw-r----- 1 root shadow /etc/shadow
   -rw-r--r-- 1 root root /etc/passwd
   drwx------ 2 root root /etc/security

3. 如果权限不正确，使用以下命令修复：

   sudo chmod 640 /etc/shadow
   sudo chown root:shadow /etc/shadow
   sudo chmod 644 /etc/passwd
   sudo chmod 700 /etc/security

方法三：使用替代命令修改密码

如果标准 passwd 命令失败，可以尝试使用 chpasswd 命令：

echo "username:newpassword" | sudo chpasswd

或者使用 usermod 命令：

sudo usermod --password $(openssl passwd -1 "newpassword") username

方法四：检查并临时禁用 SELinux

1. 检查当前 SELinux 状态：

   getenforce

2. 如果状态是 Enforcing，可以尝试临时设置为 Permissive：

   sudo setenforce 0

3. 然后再次尝试修改密码

4. 如果问题解决，考虑调整 SELinux 策略或保持 Permissive 模式（生产环境不推荐）

完整的命令行示例

以下是完整的检查和修复流程示例：

1. 首先检查 PAM 配置：

   sudo cat /etc/pam.d/passwd

2. 检查文件权限：

   ls -l /etc/shadow /etc/passwd
   ls -ld /etc/security

3. 修复权限（如果需要）：

   sudo chmod 640 /etc/shadow
   sudo chown root:shadow /etc/shadow

4. 尝试使用 chpasswd 修改密码：

   echo "username:newpassword" | sudo chpasswd

5. 如果仍然失败，检查 SELinux：

   getsebool -a | grep passwd
   sudo setenforce 0

6. 最后尝试再次修改密码

预防措施和最佳实践

为了避免此类问题的发生，建议采取以下预防措施：

1. 定期检查系统配置
2. 定期验证 PAM 配置文件的完整性

3. 监控关键系统文件的权限变化

4. 实施配置管理

5. 使用 Ansible、Puppet 等工具管理关键配置文件

6. 对 /etc/shadow 等敏感文件设置监控

7. 遵循最小权限原则

8. 严格控制对 /etc/shadow 的访问权限

9. 避免使用 root 权限执行不必要的操作

10. 建立完善的备份策略

11. 定期备份 PAM 配置和用户数据库
12. 测试恢复流程确保可用性

生产环境中的注意事项

在生产环境中处理此类问题时，需要特别注意：

1. 变更管理
2. 任何配置修改都应先在测试环境验证

3. 变更应在维护窗口期进行

4. 影响评估

5. 评估修改对现有用户会话的影响

6. 考虑批量修改密码对系统负载的影响

7. 审计跟踪

8. 记录所有密码修改操作

9. 配置集中式日志收集

10. 安全考虑

11. 避免在命令行直接输入明文密码
12. 使用安全通道传输密码

总结

遇到 token manipulation error -i 错误时，不要惊慌。通过系统性的检查 PAM 配置、文件权限和 SELinux 设置，大多数情况下都能快速解决问题。本文提供的多种解决方案可以根据实际情况灵活选择。

如果你尝试了这些方法仍然无法解决问题，可以考虑检查系统日志获取更多信息：

sudo tail -f /var/log/secure
sudo grep passwd /var/log/messages

欢迎在评论区分享你遇到和解决这个问题的经验，或者提出任何相关问题。