1. 为什么非要折腾 root 密码先搞清楚这几个前提很多人一看到“Ubuntu 修改 root 账户密码”第一反应就是我直接passwd root不就行了还真没那么简单。Ubuntu 默认安装完根本没有可用的 root 密码你 sudo 用的那个密码跟 root 密码不是一回事。如果你之前从来没设置过 root 密码直接敲passwd root大概率会看到Cannot open passwd或者Permission denied这种报错然后一脸懵。这个问题的本质是Ubuntu 默认禁用了 root 用户的密码登录安装系统时创建的那个用户属于sudo组日常提权靠的是 sudo 机制根本不是 root 身份。所以“修改 root 密码”这个动作通常意味着两件事的其中一件要么你想从 root 账户登录系统桌面端或 SSH 登录要么你忘了 root 密码需要找回要么你只是想主动轮换一次 root 密码做安全加固。本篇适用的人群挺广的实验室里用 Ubuntu 服务器管理环境的同学、本地装了 Ubuntu 双系统想进 root 折腾配置的玩家、还有给公司内网维护 Ubuntu 机器却把 root 密码搞丢的运维朋友。无论你是哪一类只要你需要在 Ubuntu 上把 root 密码改掉或者重置掉这篇文章都能给你一条能直接照着走的路。我先把结论说在前面修改 root 密码不是一条命令就能覆盖所有场景的。已知 sudo 权限、忘记密码进入 recovery 模式、通过 live USB 挂载根分区这三种场景的处理方式完全不同。你是什么情况走的路径就不一样。下面我按实际操作的难度从最常见到最折腾的递进展开。2. 常规操作有 sudo 权限时3 分钟完成密码修改2.1 直接修改当前 root 密码的基本命令如果你已经能用普通用户登录系统并且这个用户有 sudo 权限那修改 root 密码其实非常简单。打开终端按顺序执行sudo -i passwd root第一行是切换到 root 身份的常用方式和sudo su -等效但比直接敲su省事因为后者在没有 root 密码时会卡住。然后passwd root会提示你输入新密码两次注意输入密码时终端不会显示任何字符这是正常现象不要以为键盘坏了。还有一个更顺手的写法直接在当前用户下执行sudo passwd root这个写法等于把两步合成一步sudo 提权后直接改动 root 密码不需要先切换身份。实测下来两种写法效果完全一样选哪种看个人习惯。我猜这时候有人会问既然我有 sudo 权限为什么不直接passwd root而是sudo passwd root因为 Ubuntu 的 passwd 修改密码有两种情况普通用户只能改自己的密码改 root 必须 root 身份或者通过 sudo 提权。这个“身份边界”很多人第一次踩坑就是踩在这没有 sudo 前缀终端报错Permission denied还以为自己密码输错了。2.2 设置完密码后建议顺手做的两件事很多教程到passwd root就结束了但我实际用下来发现改完密码后有两个动作最好顺手一起做不然下次还会再来找你麻烦。第一件检查一下 root 密码是否真实生效su - root这个命令会要求你输入刚才设置的 root 密码如果密码正确你会看到当前用户身份变成 rootwhoami输出root。这一步能快速验证密码是否设置成功避免你密码写错了还以为设好了。第二件如果你是想让 root 账户能直接登录图形界面或者通过 SSH 登录那光有密码还不够。Ubuntu 默认还有一层限制我放在后面“最隐蔽的坑”里详细说这里先不展开。简单提醒一句改完密码 ≠ 能登录这是很多新手的认知盲区。提示如果你的 sudo 权限是基本可用的状态顺手把 /etc/sudoers 里当前用户的提权配置确认一下也有必要万一哪天 sudo 坏了你还能用 root 身份去修复。2.3 为什么很多人改了 root 密码依然无法登录我见过不少人在这一步走完就弃坑了说 root 密码改了还是不对。最常见的原因就两个。第一个原因是大小写或键盘布局问题这个看起来像废话但实际发生的概率非常高。Linux 密码是区分大小写的而且终端不会回显任何输入全凭手感。有些人设置的密码里带特殊符号比如!、在中文输入法全角状态下输入会和半角符号不一致就会导致密码永远验证失败。第二个原因也是最大的一个Ubuntu 默认的 PAM 配置文件会阻止 root 通过 SSH 登录哪怕密码设置正确也不行。SSH 服务端的/etc/ssh/sshd_config里默认配置是PermitRootLogin prohibit-password这个配置项的意思是允许 root 通过密钥登录但禁止通过密码登录。所以你会发现 root 密码改成什么样都没用SSH 就是不让你密码登录。这个问题不在密码本身而在于你登录的通道被策略拦截了。我在后面专门写一节来说怎么处理这种“密码对了还是被拒绝”的情况。3. 忘记 root 密码的恢复方案recovery 模式和 live USB 两种路线3.1 走进 Ubuntu 的 recovery 模式重设密码忘记 root 密码是最让人头疼的场景但好在 Ubuntu 留了一个官方后门——recovery 模式。这个模式的原理很简单GRUB 引导菜单里会加载一个特殊的 initramfs 环境在这个环境里有 root shell允许你修改文件系统里的密码哈希。操作步骤是这样重启电脑在 GRUB 菜单出现时快速按方向键选择进入 Advanced options for UbuntuUbuntu 的高级选项。列表里找到带(recovery mode)字样的内核条目通常是第一个按回车进入。恢复菜单弹出后方向键选择root项回车进入 root shell。先执行mount -o remount,rw /重新挂载根文件系统为可写。这一步很重要因为 recovery 模式默认把根分区挂载为只读不重挂的话你写不进任何修改。执行passwd root输入新的 root 密码两次。执行reboot重启回到正常系统后测试登录。整个流程看起来不复杂但踩过坑的人会知道里面问题最多的是第四步。很多教程只写mount -o remount,rw /但实际恢复环境有时候因为磁盘加密、LVM 逻辑卷或者文件系统异常单纯 remount 会失败。这时候你需要执行fsck检查文件系统或者先确认分区挂载状态再重挂。3.2 用 live USB 挂载根分区修改密码如果 recovery 模式进不去比如 GRUB 菜单被隐藏、系统直接崩了、或者你用的是自定义引导链那就需要 live USB 出场了。你需要准备一个 Ubuntu 启动 U 盘U 盘里最好放一个passwd文件备份工具和数据备份的空间因为接下来的操作有一定风险。步骤如下用 live USB 启动电脑选择“Try Ubuntu”进入临时系统。打开终端执行sudo fdisk -l查看磁盘分区确认根分区一般形如/dev/sda2、/dev/nvme0n1p2。把根分区挂载到/mnt比如sudo mount /dev/sda2 /mnt。如果你的系统用了 LVM、lUKS 加密或者其他特殊的磁盘布局还需要额外处理这里先按最简单的情况说。使用chroot切换到真实系统的根目录sudo chroot /mnt。然后执行passwd root修改完成。执行exit退出 chrootsudo umount /mnt卸载分区重启电脑拔掉 U 盘。这个方法的核心在于 chroot它相当于把 live 系统“借壳”成了你原来的系统环境。文件系统里的密码哈希文件/etc/shadow被直接读取和修改所以无论原来的系统密码是什么都能被重置。3.3 recovery 与 live USB 两种方式的适用边界对比我整理了一个对比表方便你判断自己该走哪条路线对比维度Recovery 模式Live USB 方式前置条件GRUB 可用系统可进入到恢复菜单需要准备 Ubuntu 启动 U 盘操作难度较低菜单操作较高涉及分区识别和 chroot磁盘加密兼容性需要额外的加密解锁步骤同样需要解密且不支持 LUKS 自动解锁时更麻烦适用场景GRUB 和系统引导基本良好的情况GRUB 损坏、系统无法引导、二次修复等严重场景风险等级低中涉及分区写入误操作会损坏数据我个人的建议是优先尝试 recovery 模式因为它的环境里已经尽量把恢复所需的组件预设好了不需要你手动定位分区。但是如果你的磁盘用了 LUKS 全盘加密两种方式都不太省心需要在进入任一路径前先解锁加密分区。注意无论使用哪种恢复方式改密码前建议先给/etc/shadow做个备份直接cp /etc/shadow /etc/shadow.bak即可。虽然出问题的概率很低但一旦写入中断或文件损坏备份能让你不至于连系统都进不去。4. 从公钥登录切换到 root 密码登录修改 SSH 配置与 PAM 策略4.1 SSH 登录 root 被拒的根本原因解析很多人修改完 root 密码后发现本地终端能登录但远程通过 SSH 始终进不去通告提示Permission denied, please try again。这个坑十有八九是卡在 SSH 服务端的配置上。Ubuntu 安装 OpenSSH 服务后默认的/etc/ssh/sshd_config中有这么一行#PermitRootLogin prohibit-password你注意看这行内容开头带#表示被注释了所以默认生效的是编译进 SSH 里的默认值。对于 OpenSSH 来说默认值在不同版本里并不完全一样有的默认是prohibit-password有的默认是no。但无论哪种效果都是一样的——不允许你用密码方式直接以 root 身份登录。这里的逻辑其实就是SSH 服务有自己的访问策略与 Linux 用户密码是两套体系。你修改了/etc/shadow里的密码只是验证了系统的身份体系而 SSH 的PermitRootLogin配置决定了 root 身份能否通过 SSH 通道进入系统。两个条件同时满足才能登录成功。4.2 修改 SSH 配置支持 root 密码登录的具体操作如果你明确知道自己的使用场景安全可控比如内网环境、个人开发机、临时测试服务器并且确实需要使用密码方式远程登录 root那可以这样修改先用 sudo 打开 SSH 配置文件sudo nano /etc/ssh/sshd_config找到或新增PermitRootLogin这一行改为PermitRootLogin yes保存并退出编辑器然后重启 SSH 服务sudo systemctl restart sshd注意基于 Debian/Ubuntu 的系统上服务名可能是ssh而不是sshd可以用sudo systemctl restart ssh适配。实测两种写法大多数情况下都可行如果不放心执行sudo systemctl status ssh看看服务当前状态。再用密码方式从远程发起 SSH 登录测试。这里我要非常强调一件事把PermitRootLogin改成yes之后这台机器被暴力破解的风险会明显上升。因为 root 用户名是固定的攻击者不需要探用户名只要爆破密码就行。所以这个操作只建议在受控环境使用如果你有运维底线更稳妥的方案是保持prohibit-password使用密钥和普通用户登录。实际上我在实践中更推荐的方式是PermitRootLogin prohibit-password保持默认然后用普通用户登录后需要 root 操作时再su -或者sudo -i切换身份。这样既满足了日常运维需求又把 root 的暴露面降到最低。4.3 PAM 策略树倒的另一个拦截login.defs 与 securetty修改完 SSH 配置后还有一层策略可能拦截你那就是系统自带的 PAM 模块。Ubuntu 的/etc/pam.d/login和/etc/securetty配合使用会限制 root 从哪些终端登录。/etc/securetty文件的作用比较直白它列出了允许 root 登录的终端列表。如果文件里没有你要用的终端设备名root 登录会被拒绝。默认情况下tty1到tty6和一部分串口通常会被允许但你从图形终端登录或者使用 SSH 虚拟终端时这条限制不太会触发。但是如果你在/etc/pam.d/common-auth或者别的地方自定义过 PAM 规则情况就不同了。有些安全加固脚本会自动添加对 root 登录的限制策略导致密码明明正确也被 PAM 拒绝日志里会写pam_unix(sshd:auth): authentication failure。排查思路是sudo grep -r pam_securetty /etc/pam.d/sudo cat /etc/securetty对于大多数默认配置的 Ubuntu 系统这两个文件很少能拦截到你但如果你在装过安全加固工具或 SELinux 加强策略的系统上操作就必须排查这一层。为了排查方便建议临时测试时把日志打开关注/var/log/auth.log里的具体失败原因。5. 最容易被忽视的若干细节账号锁定、密码复杂度与权限安全边界5.1 root 账号被锁定的情况有一种情况密码设置了也没法登录因为 root 账号本身在 shadow 文件里标记为锁定状态。锁定状态的表现是/etc/shadow中 root 那行的第二个字段密码哈希以!开头比如root:!:19215:0:99999:7:::这个!的含义是“密码已禁用”也就是说即便你执行了passwd root账号还是处于不可登录状态。如果你想手动解除锁定可以执行sudo passwd -u root或者直接编辑/etc/shadow把第二字段开头的!去掉。不过要小心手动编辑 shadow 文件时千万别改错字段改动哈希字段本身就会导致密码失效我建议还是用passwd命令配合-l/-u参数操作更安全。5.2 尽量用强密码但别强到把自己锁死有些安全要求会引导大家设置复杂密码但我发现很多人设置的复杂密码自己都记不住回头疫情一过就忘了又开始愁。密码策略上Ubuntu 默认并不强制复杂度你不会遇到多少限制但这不代表你可以偷懒。我建议的密码设计思路是用一个自己能记住但与个人信息无强关联的短语组合比如 “书桌上那本灰色笔记的11月版本” 这种中文思维转化成的英文短句加入数字和符号。重点是长度比复杂度更重要12位以上、易记难猜的密码带来的安全性收益反而比 8 位满符号密码高很多。如果你确实需要频繁用密码方式登录 root建议搭配 fail2ban 这类防爆破工具能在连续失败若干次后自动拉黑来源 IP这比单纯改密码更能提升安全水位。5.3 权限的边界感root 密码修改后的最小权限习惯每次修改 root 密码时我都习惯顺带确认一下系统中的 sudo 用户列表看看有没有不该出现在sudo组里的账号。长年累月下来很多服务器上会堆着一些开发时期创建的测试账号它们可能留有弱密码成为系统安全的薄弱点。sudo getent group sudo这条命令能把 sudo 组的用户列出来。排查后如果发现没有在用的多余账号可以移除sudo deluser username sudo这个操作不影响该普通用户本身只是让它失去 sudo 提权能力。养成这种“动一次 root 密码就顺便做一次减负”的习惯能让你的 Linux 环境长期保持一个相对清爽的状态。6. 参考操作路径汇总一张流程图说不清的用一张表格说清很多人打开这篇文章会直接搜命令我这里把不同场景下最常用的命令整理出来方便你直接复制。操作场景核心命令/操作路径风险提示有 sudo 权限改当前 root 密码sudo passwd root无较大风险注意密码强度有 sudo 权限顺手验证su - root验证登录无风险忘记密码进 recovery 模式重启进 GRUB → Advanced options → recovery mode → root →mount -o remount,rw /→passwd root需注意只读挂载问题忘记密码用 live USBU 盘启动 → fdisk 定位根分区 → mount 到 /mnt →chroot /mnt→passwd root磁盘操作需谨慎建议提前备份SSH 密码方式登录 root编辑/etc/ssh/sshd_config设PermitRootLogin yes暴露面增大需配合 fail2ban 和强密码解除密码锁定状态sudo passwd -u root确认 shadow 文件中无异常安全检查 sudo 用户列表sudo getent group sudo无风险建议定期执行在实际操作的过程中你会发现这些命令之间是有主次顺序的不用一上来就动 SSH 配置只有当你确认本地密码修改已经成功、但远程登录还有异常时才需要排查 SSH 和 PAM 那几层。整体上遵循“先本地、后远程、再策略”的顺序能少走很多弯路。7. 实操中的常见问题与排查经验我在这类问题上出过不少状况有些问题真的让人崩溃到想砸键盘。把几个典型的踩坑经历记录在这里希望你在遇到同样情况时能快速定位。7.1 sudo 密码也忘了还能不能改 root 密码这个问题很多人问过。如果你既忘了 root 密码又忘了 sudo 用户自己的密码那两个用户都没法直接通过登录进入正常系统。这种时候你只能选择重启进 recovery 模式或者用 live USB因为在正常系统里没有身份是无法获得 shell 的。在 recovery 模式下的 root shell 是独立的它不需要你原来系统的任何密码就能进入所以它能直接修改root和任何普通用户的密码。直接执行passwd当前用户已是 root。7.2mount -o remount,rw /执行报错权限不足这种情况在 recovery 模式下其实很少见因为 root shell 默认就是最高权限。但如果你的系统是用了 snap 版的内核、或者某些自定义引导环境可能 remount 被拒绝。解决办法是mount -o remount,rw,errorscontinue /加上errorscontinue参数可以在遇到非关键文件系统错误时继续执行挂载避免直接失败。如果还是不行试试mount -o remount,rw /dev/sdaX /指定分区重挂。7.3 修改 SSH 配置后服务无法启动很多人改完sshd_config后一重启 SSH 服务就挂了报错通常是missing privilege separation directory或/etc/ssh/sshd_config line N: syntax error。前者是 sshd 运行环境的问题后者多数是你手误删掉了某个配置里必须存在的项。回滚方式很简单如果你在修改前备份过就用备份恢复sudo cp /etc/ssh/sshd_config.bak /etc/ssh/sshd_config sudo systemctl restart ssh没有备份的话可以执行sudo sshd -t检查配置文件的语法报错会直接告诉你哪一行有问题。这条命令在你修改配置文件后运行一下能省掉很多没必要的重启事故。7.4 由于密码修改导致普通用户 sudo 失效修改 root 密码不会影响普通用户的 sudo 权限但如果误操作了/etc/sudoers文件sudo 会立刻罢工。万一发生这种情况又没权限恢复你能走的还是 recovery 模式。进入 root shell 后执行visudo -c检查 sudoers 文件语法再打开文件修正内容。记住不要直接nano /etc/sudoers必须通过visudo才能安全修改它能避免语法错误导致的问题。8. 我实际用下来的一些个人经验和建议拿我自己来说在管理一堆 Ubuntu 服务器的日子里修改 root 密码这件事频率并不高但每次操作时都会顺手做三件事第一把密码用密码管理器存储好而不是随手写在便签上第二确认开启 SSH 密钥登录防止密码被爆破第三给 root 配置一条独立的审计通道比如启用sudo的日志记录。这三个习惯让我的日常运维少了很多不必要的惊慌。尤其是在多人共管的服务器上保留完整的 sudo 日志特别重要它对后续排查“谁动了系统”很有价值。你可以用下面的命令审计当前系统的 sudo 日志grep sudo /var/log/auth.log在追求方便的同事也别忘了保留一条安全的逃生通道。所谓逃生通道是指你除了密码登录外还能有另一种方式进到系统里。最可靠的方案是在本机配置好一个备用账户的公钥登录或者把所有系统都纳入统一配置管理。否则哪天密码改了、SSH 配置又出问题你就只能抱着显示器进机房了。另外我还建议凡是改了关键账户的密码最好在改完后 5 分钟内用另一个终端验证一下是否能正常登录。很多人因为忽略这个验证导致系统在无人值守状态下锁在门外最后只能去走 recovery 流程白白浪费大量时间。说到底Ubuntu 修改 root 账户密码并不是一个“会了就完事”的技能它牵涉到系统登录链路里的多个环节。你在操作过程中如果多花一分钟想搞清楚背后为什么会有这个限制后续遇到变种问题时就不会慌张。这套思路比单条命令值钱多了。最后再分享一个小操作给 root 设置好密码之后我通常会在/root/.bashrc里加一个alias reset-rootsudo passwd root今后再算要改密码时只需在任意终端敲 reset-root 就够了。虽然省不了多少事但顺手得很。