修改Linux ECS实例root密码时,提示"passwd:Permission denied"

步骤一：检查关键文件的权限

1. 运行以下命令，检查文件权限是否正常。

   ls -l /etc/passwd /etc/shadow /etc/pam.d/*

   正常情况下：

   • /etc/passwd权限为644（即rw-r--r--），所有者为root。

   • /etc/shadow权限为600（即rw-------），所有者为root。

   • /etc/pam.d/*权限为644（即rw-r--r--），所有者为root。

2. 如果发现权限异常，可以使用以下命令修复文件权限。

   sudo chmod 644 /etc/passwd
   sudo chmod 600 /etc/shadow
   sudo chmod -R 644 /etc/pam.d/*

3. 运行以下命令，检查文件不可变属性。

   lsattr /etc/passwd /etc/shadow

4. 若输出中包含i（如----i--------），表示文件不可修改，可执行以下命令移除i属性。

   sudo chattr -i /etc/passwd
   sudo chattr -i /etc/shadow

   修改密码后，可重新设置i属性以增强安全性。

   sudo chattr +i /etc/passwd
   sudo chattr +i /etc/shadow

步骤二：检查SELinux状态

如果系统启用了SELinux服务，可能会限制密码修改操作。可以通过以下命令临时关闭SELinux。

# 查看SELinux状态
sestatus

# 临时关闭SELinux（若启用）
sudo setenforce 0

如果问题解决，可根据需求永久关闭SELinux，具体请参见永久关闭SELinux服务。

步骤三：使用strace追踪修改密码过程

1. 通过strace命令，追踪修改密码的过程，并将日志输出到/tmp/changepasswd文件。

   strace -o /tmp/changepasswd passwd root

2. 执行以下命令分析日志，若输出类似open("/etc/pam.d/system-auth-ac\r", O_RDONLY)，则确认/etc/pam.d/system-auth-ac文件格式异常（DOS格式导致）。

   grep "open" /tmp/changepasswd | grep "\/r"

步骤四：检查并修复PAM配置文件格式

1. 执行以下命令检查文件格式。如果问题与PAM模块相关，可能是/etc/pam.d/system-auth-ac文件格式异常（例如DOS格式）。

   # CentOS/RHEL
   file -i /etc/pam.d/system-auth-ac
   
   # Ubuntu/Debian
   file -i /etc/pam.d/passwd

   如果输出中包含us-ascii和with CRLF line terminators，则表示文件为DOS格式。

2. 如果文件为DOS格式，使用以下命令将文件从DOS格式转换为Unix格式。

   # CentOS/RHEL
   sudo dos2unix /etc/pam.d/system-auth-ac
   
   # Ubuntu/Debian
   sudo dos2unix /etc/pam.d/passwd

步骤五：验证修改结果

1. 完成上述步骤后，再次尝试修改root密码。

   passwd root

   输入新密码并确认，查看是否能够成功修改密码且不再出现“Permission denied”错误。

2. 使用新密码登录系统，验证密码修改是否生效。