共计 2051 个字符，预计需要花费 6 分钟才能阅读完成。
错误背景与常见场景
在 CentOS 系统中，管理员或普通用户通过 passwd 命令修改密码时，可能会遇到 token manipulation error -i 错误。这个错误通常表现为密码修改失败，并伴随以下提示：
passwd: token manipulation error -i该错误常见于以下几种场景：
- 系统升级后 PAM（Pluggable Authentication Modules）配置出现问题
/etc/shadow文件权限或所属用户组异常- SELinux 策略限制了密码修改操作
- 磁盘空间不足导致临时文件无法生成
错误原因的技术分析
1. PAM 模块问题
PAM 是 Linux 系统中用于认证的核心模块。token manipulation error -i通常与 PAM 的 pam_unix.so 模块相关。该模块负责处理密码修改的底层操作，如果配置错误或模块本身出现问题，会导致密码修改失败。
2. 文件权限问题
/etc/shadow文件存储了用户的加密密码信息。该文件通常应具有以下权限：
-rw------- 1 root shadow如果权限不正确（例如，普通用户可写或所属组错误），系统将无法安全地更新密码信息。
3. SELinux 限制
在启用 SELinux 的系统上，错误的上下文标签或过严的策略可能阻止密码修改操作。特别是 /etc/shadow 文件的 SELinux 上下文需要保持正确。
4. 磁盘空间问题
密码修改过程需要创建临时文件。如果 /tmp 分区或根分区空间不足，操作也会失败。
多种解决方案的详细步骤
解决方案 1：检查并修复 PAM 配置
- 备份当前的 PAM 配置：
sudo cp /etc/pam.d/passwd /etc/pam.d/passwd.bak- 检查
/etc/pam.d/passwd文件内容，确保包含以下关键行：
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok- 如果发现问题，可以使用以下命令恢复默认配置：
sudo authselect apply-changes解决方案 2：验证并修复文件权限
- 检查
/etc/shadow文件权限：
ls -l /etc/shadow- 如果权限不正确，使用以下命令修复：
sudo chmod 600 /etc/shadow
sudo chown root:shadow /etc/shadow- 同时检查
/etc/passwd和/etc/group文件的权限：
sudo chmod 644 /etc/passwd /etc/group
sudo chown root:root /etc/passwd /etc/group解决方案 3：处理 SELinux 相关问题
- 检查 SELinux 状态：
getenforce- 如果 SELinux 处于 Enforcing 模式，可以尝试临时设置为 Permissive 模式测试：
sudo setenforce 0- 修复
/etc/shadow文件的 SELinux 上下文：
sudo restorecon -v /etc/shadow解决方案 4：使用替代命令修改密码
如果上述方法无效，可以尝试使用 chpasswd 命令：
echo "username:newpassword" | sudo chpasswd或者使用交互式方式：
sudo passwd username完整的命令行示例
以下是一个完整的诊断和修复流程示例：
- 首先检查系统日志获取更多信息：
sudo tail -n 50 /var/log/secure- 验证 PAM 配置：
sudo grep pam_unix.so /etc/pam.d/passwd- 检查文件权限：
ls -l /etc/shadow
stat /etc/shadow- 修复权限（如果需要）：
sudo chmod 600 /etc/shadow
sudo chown root:shadow /etc/shadow- 检查磁盘空间：
df -h- 如果问题仍然存在，尝试重建 PAM 配置：
sudo authselect apply-changes预防措施和最佳实践
- 定期检查系统关键文件（如
/etc/shadow）的权限 - 在进行系统升级前备份 PAM 配置
- 在修改密码相关配置前，先在测试环境验证
- 为系统保留足够的磁盘空间（至少 10% 的剩余空间）
- 使用配置管理工具（如 Ansible）来维护一致的权限设置
生产环境中的注意事项
在生产环境中处理此问题时需特别注意：
- 变更窗口：选择系统负载较低的时间进行操作
- 备份：确保有完整的系统备份和关键配置文件备份
- 回滚计划：准备好快速回滚的方案
- 监控：操作后密切监控系统认证相关日志
- 影响评估：评估操作可能对依赖系统认证的服务（如 SSH、数据库等）的影响
结语
token manipulation error -i错误虽然令人困扰，但通过系统化的排查和修复通常可以快速解决。建议读者按照本文提供的步骤逐一排查，并在解决问题后记录下具体的解决过程，以便未来参考。
如果你遇到了本文未涵盖的特殊情况，或者有其他有效的解决方案，欢迎在评论区分享你的经验。对于更复杂的生产环境问题，建议在测试环境中充分验证后再应用到生产系统。
