Linux-Root-Passwort zurücksetzen: Konsole, SELinux und Audit-Verfahren

EdwardMoon

Dies ist eine Anleitung zum Zurücksetzen des root-Passworts unter RHEL 8 und Derivaten wie Rocky Linux, die denselben rd.break-Wiederherstellungsprozess nutzen. Wenden Sie diese Schritte nicht unverändert auf Ubuntu, andere initramfs-Konfigurationen oder Authentifizierungsrichtlinien neuerer Distributionen an, sondern prüfen Sie die offiziellen Wiederherstellungsschritte der jeweiligen Version. Binden Sie das Root-Dateisystem über einen autorisierten Konsolenzugriff im rd.break-Rettungsmodus mit Schreibrechten ein, ändern Sie das Passwort, führen Sie ein SELinux-Relabeling durch und prüfen Sie den Systemstart. Vor dem Kopieren von Befehlen müssen Zielsystem, Berechtigungen, Änderungsumfang und Wiederherstellungspfade überprüft werden. Dieser Artikel fasst Konzepte, Ablauf, praktische Code-Blöcke sowie Prüfung und Fehlerbehebung in einer zusammenhängenden Betriebsanweisung zusammen.

Die Beispiele dienen dem besseren Verständnis. Passen Sie Hostnamen, Benutzer, Geräte, Pfade und Netzwerkbereiche an Ihre tatsächliche Umgebung an. Sichern Sie vor betrieblichen Änderungen den aktuellen Zustand sowie die Konfigurationen und stellen Sie den Zugriff über die Konsole oder eine separate Verwaltungssitzung sicher.

Linux-Root-Passwort zurücksetzen: Linux-Benutzer und -Gruppen, Home-Verzeichnisse, Shells, Passwortablauf, Login-Steuerung und Zugriffsaudit — Komponenten, Sicherheitsgrenzen, Statusprüfungen und Wiederherstellungsablauf beim Zurücksetzen des Linux-root-Passworts

Linux-Root-Passwort zurücksetzen: Kernkonzepte und Umfang

Um die Einstellungen zum Zurücksetzen des Linux-root-Passworts korrekt anzuwenden, müssen Sie die Beziehungen zwischen den einzelnen Komponenten verstehen, anstatt sich nur auf Befehlsnamen zu verlassen. Gleichen Sie Abfrageergebnisse, Konfigurationsdateien, laufende Prozesse, Protokolle und tatsächliche Dienstantworten miteinander ab.

Kategorie	Betriebsstandard
Identifikatoren	UID/GID sind anstelle des Benutzernamens die Basis für Dateibesitz und Prozessberechtigungen
Authentifizierungsrichtlinie	Kombination aus shadow, PAM, Passwortablauf, Sperren und Login-Shell
Lebenszyklus von Berechtigungen	Regelmäßige Überprüfung von Erstellung, Änderung, Inaktivität, Deaktivierung und sudo-Berechtigungen

In diesem Artikel behandelte Kernpunkte

Es wird vorausgesetzt, dass der physische oder virtuelle Konsolenzugriff bereits weitreichende administrative Möglichkeiten eröffnet.
Änderungsgründe, zuständige Personen und Zeiten müssen protokolliert werden.
Nach dem Neustart sollte für den administrativen Zugriff ein persönliches Benutzerkonto mit sudo anstelle eines direkten root-SSH-Logins verwendet werden.

Linux-Root-Passwort zurücksetzen: Sicherheitsprüfung vor der Anwendung

Prüfen Sie vorhandene UIDs/GIDs, Gruppen, Home-Verzeichnisse und Dateieigentümer auf Konflikte.
Unterscheiden Sie zwischen dedizierten Systemkonten und persönlichen Benutzerkonten und legen Sie Richtlinien für Shell, Home-Verzeichnis, Ablauf und Sperrung fest.
Geben Sie Passworthashes nicht direkt als Befehlszeilenargumente oder in Skripten an, sondern nutzen Sie sichere Eingabemethoden.
Verifizieren Sie nach der Änderung neue Sitzungen, die Übernahme von Gruppenänderungen, den sudo-Umfang und den Zugriff auf Dienstdateien.
Sperren Sie ungenutzte Konten und Schlüssel und führen Sie regelmäßige Audits von Dateibesitzern, Gruppen und letzten Logins durch.

Führen Sie diese Schritte nur an der Konsole ausschließlich auf eigenen Systemen oder auf Systemen aus, für die Ihre Administrationsberechtigung feststeht. Überprüfen Sie nach der Änderung die temporären Zugriffsmethoden und die Sicherheit des Bootmenüs erneut.

Linux-Root-Passwort zurücksetzen: Befehle und Konfigurationsbeispiele

Führen Sie die folgenden Befehle Schritt für Schritt aus. Der Erfolg eines einzelnen Codeblocks garantiert nicht automatisch die Sicherheit des nächsten Schritts. Überprüfen Sie Ausgaben, Exit-Codes und Protokolle, bevor Sie fortfahren.

Schritt 1: Aktuellen Status prüfen

# Drücken Sie "e" im GRUB-Bildschirm der Konsole.
# Fügen Sie "rd.break" am Ende der Kernel-Zeile hinzu, die mit "linux" beginnt.
# Starten Sie mit Strg+x und führen Sie die folgenden Befehle in der Rettungsshell aus.
mount -o remount,rw /sysroot
chroot /sysroot

Schritt 2: Änderung sicher durchführen

passwd root
touch /.autorelabel
mount -o remount,ro /
exit
exit

Schritt 3: Ergebnisse prüfen

Das SELinux-Relabeling kann einige Zeit in Anspruch nehmen und kann nach Abschluss einen Neustart auslösen. Schalten Sie das System während dieses Vorgangs nicht aus und warten Sie auf den regulären Anmeldebildschirm. Melden Sie sich an der Konsole mit dem geänderten Passwort an und überprüfen Sie den Status mit den folgenden Befehlen. Eine Aktivierung des root-SSH-Logins ist für diesen Vorgang nicht erforderlich.

getenforce
sudo passwd -S root
sudo journalctl -b -p warning --no-pager
sudo sshd -T | grep permitrootlogin

Betriebliche Prüfung und Fehlerbehebung

Die Prüfung endet nicht mit der Erfolgsmeldung eines Befehls. Überprüfen Sie den ausführenden Benutzer, den tatsächlichen Zustand von Dateien, Prozessen und Sockets sowie die Dienstprotokolle und führen Sie Funktionstests aus Benutzersicht durch. Falls Fehler auftreten, wiederholen Sie nicht einfach dieselben Befehle, sondern analysieren Sie die Abweichung zwischen der letzten Änderung und dem bekannten Sollzustand (Baseline).

Wenn nur der Benutzername identisch ist, aber die UID abweicht, stimmen die Berechtigungen für freigegebene Dateien und NFS-Freigaben nicht überein.
Gruppenänderungen werden in bestehenden Login-Sitzungen nicht sofort wirksam; überprüfen Sie diese daher in einer neuen Sitzung.
Unterscheiden Sie bei der Diagnose zwischen Kontosperren, Shell-Einschränkungen und der Ausführbarkeit von Dienstkonten.

Dokumentieren Sie die Ausgaben vor und nach der Änderung, die verwendeten Pakete und Versionen, den zuständigen Bearbeiter, den Zeitpunkt der Durchführung, die Prüfergebnisse sowie eventuelle Rollback-Schritte im Betriebsprotokoll. Wiederkehrende Aufgaben sollten in einer Testumgebung repliziert und anschließend automatisiert werden.

Betriebliche Checkliste

Ziel-Hosts, Benutzer, Geräte, Dateien und Dienste wurden eindeutig identifiziert.
Die aktuelle Konfiguration und kritische Daten wurden an einem separaten Ort gesichert.
Es wurden Konten mit minimalen Berechtigungen und die erforderlichen Netzwerkbereiche verwendet.
Befehle und Konfigurationsbeispiele wurden durch die tatsächlichen Werte der Umgebung ersetzt.
Die Funktionalität wurde in einer neuen Sitzung oder von einem unabhängigen Client aus geprüft.
Protokollierung, Überwachung, Backup- und Wiederherstellungsverfahren sowie die zuständigen Personen wurden überprüft.

Offizielle Dokumentation und weiterführende Handbücher

Das Kriterium für den erfolgreichen Abschluss von Arbeiten im Zusammenhang mit dem Zurücksetzen des Linux-root-Passworts ist nicht die bloße einmalige Ausführung eines Befehls. Die Einstellungen müssen auch nach einem Neustart oder in einer neuen Sitzung erhalten bleiben, Berechtigungen und erreichbare Schnittstellen müssen den Vorgaben entsprechen, und Fehler müssen erkannt sowie sicher rückgängig gemacht werden können.