在CentOS 6.9系统中，忘记管理员密码是一个常见但棘手的问题，由于系统安全性设计，直接通过常规方式重置密码是不可行的，通过单用户模式或救援模式，我们可以绕过密码验证并修改密码，本文将详细介绍在CentOS 6.9系统中忘记密码后的完整解决流程，包括前提条件、操作步骤、注意事项以及常见问题解答。
准备工作：进入单用户模式
在开始操作前，需要确保能够物理访问服务器或通过虚拟控制台（如iLO、iDRAC或VMware控制台）访问系统，远程连接方式（如SSH）在密码丢失时无法使用，因此本地或带外管理是必要条件，第一步是重启服务器，并在启动过程中按下任意键进入GRUB引导菜单，在GRUB界面中，使用方向键选择默认的CentOS内核选项，然后按“e”键进入编辑模式。
在编辑模式下，需要找到以“linux”或“kernel”开头的行，这通常是系统的启动参数行，在该行的末尾，添加“init=/bin/bash”参数，这会使系统在启动时直接进入bash shell，而跳过正常的初始化过程，修改完成后，按“Ctrl+X”或“F10”键以单用户模式启动系统，如果系统启用了SELinux，可能需要暂时禁用它以避免权限问题，可以通过在启动参数中添加“selinux=0”来实现。
修改密码与文件系统挂载
系统成功进入单用户模式后，会显示一个bash命令行提示符，文件系统可能以只读模式挂载，需要先将其重新挂载为读写模式，执行命令“mount -o remount,rw /”来重新挂载根分区，如果系统提示设备忙或挂载失败，可以尝试使用“fsck”命令检查文件系统完整性,确保没有损坏。
文件系统权限调整后，即可使用“passwd”命令修改root密码，按照提示输入两次新密码，系统会显示“passwd: all authentication tokens updated successfully”的提示，表示密码修改成功，如果修改过程中出现权限错误，可能需要调整SELinux上下文或文件权限，完成密码修改后，建议执行“touch /.autorelabel”命令，这会在下次重启时强制系统重新标记所有文件的安全上下文,避免SELinux策略导致的问题。
重启系统与验证
密码修改完成后，需要正常重启系统以使更改生效，执行“exec /sbin/init”或“reboot -f”命令重启服务器，在重启过程中，系统会自动进入GRUB菜单，此时不要进行任何操作，让系统正常启动，如果之前执行了“touch /.autorelabel”命令，系统启动过程可能会比平时稍长，这是正常现象,因为它正在重新扫描并标记所有文件。
系统启动完成后，可以通过新密码登录SSH或控制台，建议首次登录后立即检查系统日志，确认是否有异常记录，并验证网络服务是否正常运行，建议检查防火墙和SELinux状态，确保它们未因之前的操作而失效，如果系统配置了自动登录或密钥认证，也建议暂时禁用这些功能,以提高安全性。
注意事项与最佳实践
在进行密码重置操作时，需要注意几个关键点，单用户模式拥有root权限，因此操作过程应谨慎，避免误删关键文件或修改系统配置，如果系统使用了LUKS磁盘加密，单用户模式可能无法直接访问数据，需要额外的解密步骤，对于生产环境服务器，建议提前配置GRUB密码或使用BIOS/UEFI启动密码,以防止未授权访问物理设备。
长期来看，应建立完善的密码管理策略，例如使用密码管理工具、定期更换密码、启用双因素认证等，建议定期备份系统关键配置文件，如/etc/shadow、/etc/passwd等，以便在紧急情况下快速恢复，对于云服务器，可以利用平台提供的救援镜像或密钥重置功能,避免手动操作带来的风险。
相关问答FAQs
问题1：如果在GRUB菜单中没有找到“linux”或“kernel”开头的行怎么办？
解答：某些版本的CentOS 6.9可能使用不同的GRUB配置，此时可以查找以“title”或“menuentry”开头的行，进入其编辑模式后，通常能在下一行找到启动参数，如果仍然无法找到，可以尝试按“Tab”键查看完整的启动选项，或者检查GRUB配置文件/boot/grub/grub.conf,确认参数名称是否正确。
问题2：修改密码后系统无法启动，提示SELinux相关错误，如何解决？
解答：这通常是由于在单用户模式下修改密码后未正确处理SELinux上下文导致的，可以重启服务器并在GRUB启动参数中添加“selinux=0”临时禁用SELinux，进入系统后执行“touch /.autorelabel”并重启，如果问题仍然存在，可以尝试使用“restorecon -Rv /”命令手动恢复文件安全上下文，或检查audit.log日志定位具体错误原因。