在CentOS系统中使用su命令切换用户时，若遇到“鉴定故障”（Authentication Failure）错误，通常表现为输入正确密码后系统拒绝访问，提示“su: Authentication failure”，这一问题的根源涉及权限配置、PAM模块设置、SELinux策略及用户环境等多个层面，需通过系统性排查解决。
核心原因分析
su命令依赖Linux PAM（Pluggable Authentication Modules）框架进行身份验证，失败的主要原因包括：
密码输入错误或账户锁定
最常见场景是用户误输密码,或因多次尝试导致账户被临时锁定（如pam_faillock模块触发），若目标用户的密码包含特殊字符（如、&），未正确转义可能导致解析错误。
PAM配置文件异常
/etc/pam.d/su是控制su行为的关键文件，若其中模块顺序错误、参数配置不当（如auth required pam_unix.so的nullok选项缺失），会直接阻断认证流程，若强制要求非root用户使用sudo（如添加auth sufficient pam_sudo.so但配置错误），可能干扰默认认证逻辑。
SELinux策略限制
SELinux的安全上下文规则可能阻止su操作，当目标用户的home目录或shell路径未正确标记安全上下文（如user_home_dir_t），或进程权限不足时，系统会拒绝执行su命令。
用户环境变量冲突
目标用户的.bashrc或.profile中存在语法错误（如未闭合的引号），导致Shell初始化失败，间接影响su后的环境加载，虽不直接引发“Authentication Failure”，但可能伴随其他错误提示。
分步排查与解决方案
针对上述原因,按以下步骤逐一验证并修复：
步骤1：验证密码与账户状态
- 检查密码正确性：确保输入的密码无大小写错误、特殊字符转义正确（如在命令行中使用单引号包裹密码）。
- 确认账户未锁定：使用
passwd -S <username>查看账户状态，若显示“Locked”，需解锁（passwd -u <username>）；若因pam_faillock锁定，可通过faillock --reset重置计数器。
步骤2：审查PAM配置文件
编辑/etc/pam.d/su，确保核心认证模块正常工作：
# 确保以下行存在且未被注释 auth sufficient pam_rootok.so auth substack system-auth account required pam_access.so session optional pam_keyinit.so force revoke session include system-session
- 若修改过该文件,恢复为默认配置（可从
/etc/pam.d/su-original备份对比）。 - 检查
system-auth链接是否指向正确的PAM配置（通常为/etc/pam.d/system-auth-ac）。
步骤3：调整SELinux策略
临时关闭SELinux测试（生产环境建议永久修复）：
setenforce 0 # 临时关闭 getenforce # 确认状态为Permissive
若su恢复正常，说明SELinux策略限制，需通过audit2why分析日志（cat /var/log/audit/audit.log | grep su | audit2why），然后调整策略（如允许特定用户切换）。
步骤4：验证用户环境文件
以目标用户身份登录（如ssh <username>@localhost），检查其家目录下的.bashrc和.profile是否存在语法错误，删除可能导致错误的行（如未闭合的if语句），再尝试su切换。
常见场景案例与处理
| 场景 | 错误表现 | 解决方法 |
|---|---|---|
| 密码含特殊字符 | 输入密码后立即失败 | 使用单引号包裹密码（如su - 'us_er'） |
| PAM模块顺序错误 | 提示“Module is unknown” | 恢复/etc/pam.d/su默认配置 |
| SELinux限制root切换 | 仅root用户切换失败 | 调整semanage login策略（如semanage login -m -s sysadm_u root） |
| 用户家目录权限错误 | 切换后提示“Permission denied” | 设置家目录权限为700（chmod 700 /home/<username>） |
预防措施
- 定期审计PAM配置：每月检查
/etc/pam.d/下关键文件的完整性，避免误改。 - 监控SELinux日志：开启
ausearch -m avc -ts recent实时监控安全事件，及时响应策略变更。 - 规范用户环境文件：通过模板管理用户
.bashrc，禁止随意添加复杂脚本。
FAQs
Q1：为什么用root切换普通用户也会出现Authentication Failure？
A：即使以root身份运行su，仍需通过PAM验证目标用户的密码（除非配置了pam_rootok.so），若目标用户密码错误或账户锁定，仍会失败，SELinux可能限制root对目标用户资源的访问，需检查semanage login策略。
Q2：修改/etc/pam.d/su后，如何快速验证改动是否生效？
A：使用pamtester工具模拟认证过程（需先安装：yum install pamtester），命令如下：
pamtester --verbose /etc/pam.d/su <username> authenticate
输出结果中,“Authentication succeeded”表示配置正确；“Authentication failed”则需回溯日志定位问题。
通过以上系统性排查与针对性修复,可有效解决CentOS系统中su命令的“Authentication Failure”问题，保障用户切换功能的稳定性。