Reimpostare una password root perduta

Una password root non viene mai «ritrovata»: non è memorizzata in chiaro, nemmeno da noi. Viene sostituita. Tutti i metodi qui sotto si riducono alla stessa idea: ottenere temporaneamente un accesso privilegiato alla macchina, poi eseguire passwd.

Sono ordinati dal più semplice al più tecnico. Li provi nell'ordine.

Come reimpostare una password root perduta dall'area clienti?

È la via normale e non richiede alcun accesso preventivo alla macchina.

1. Apra il Suo servizio nell'area clienti.
2. Scheda Accessi e sicurezza, inserisca una nuova password, confermi.
3. Riavvii la macchina.

Il riavvio non è facoltativo su un VPS KVM: la nuova password viene depositata nella configurazione di inizializzazione della VM e viene letta solo all'avvio successivo. Senza riavvio, non cambia nulla.

Questo metodo copre la grande maggioranza dei casi. Passi al successivo solo se, dopo il riavvio, la nuova password continua a essere rifiutata, cosa che accade su una macchina la cui configurazione di inizializzazione è stata disattivata o rimossa dopo l'installazione.

Come reimpostare la password root tramite GRUB e la console di emergenza?

La scheda Console del Suo servizio apre lo schermo della macchina, come se fosse davanti a essa con una tastiera. È l'unico accesso che funziona ancora quando SSH è fuori gioco.

Il principio: all'avvio si chiede al kernel di lanciare una shell al posto del sistema completo. Si ottiene un accesso root senza autenticazione, il tempo di cambiare la password.

Passo 1: mostrare il menu GRUB

Apra la Console, poi riavvii la macchina dall'area clienti e tenga la console in vista. All'inizio dell'avvio, tenga premuto Maiusc o prema più volte Esc per far comparire il menu GRUB.

È il momento più delicato: la finestra temporale è breve. Non esiti a riprovare.

Passo 2: modificare la riga di avvio

Nel menu:

1. selezioni la voce Linux abituale;
2. prema e per modificarla;
3. individui la riga che inizia con linux, linux16 o linuxefi;
4. alla fine di questa riga, aggiunga:

rw init=/bin/bash

Se la riga contiene già ro, lo sostituisca con rw.

Avvii con Ctrl + X (o F10).

Questa modifica è temporanea: non viene salvata e scompare al riavvio successivo.

Passo 3: verificare che la radice sia accessibile in scrittura

Ottiene un prompt dei comandi. Verifichi:

mount | grep " on / "

Se legge ro, rimonti la radice in scrittura:

mount -o remount,rw /

Senza questo passaggio, passwd fallirà: il file delle password non può essere modificato su un sistema in sola lettura.

Passo 4: cambiare la password

passwd root

Inserisca e confermi. Su Ubuntu l'account root è spesso bloccato per impostazione predefinita: reimposti piuttosto la password del Suo utente amministratore.

passwd nome_utente

Passo 5: riavviare correttamente

Poiché il sistema non è stato avviato normalmente, i comandi abituali potrebbero non rispondere. Provi prima:

sync
exec /sbin/init

Se la macchina non riparte:

sync
reboot -f

Il sync non è decorativo: forza la scrittura su disco delle modifiche ancora in memoria. Senza di esso, il cambio di password può andare perso al riavvio.

Come procedere su Rocky, AlmaLinux, Fedora o RHEL?

Su queste distribuzioni il metodo consigliato utilizza rd.break invece di init=/bin/bash. In GRUB, aggiunga alla fine della riga del kernel:

rd.break

Poi, nella shell ottenuta:

mount -o remount,rw /sysroot
chroot /sysroot
passwd root
touch /.autorelabel
exit
reboot

Il file /.autorelabel chiede a SELinux di ricalcolare le etichette di sicurezza all'avvio successivo. Senza di esso, il sistema può rifiutare le connessioni nonostante una password corretta. Quell'avvio sarà più lungo del solito: è previsto.

Che cosa fare se la reimpostazione non riesce?

Individui prima il sintomo esatto: ciascuno dei casi qui sotto ha una causa precisa e una correzione nota.

passwd: Authentication token manipulation error

La radice è montata in sola lettura. Riprenda:

mount -o remount,rw /

La password è corretta ma SSH rifiuta root

La password non c'entra: la configurazione SSH vieta la connessione diretta come root. Verifichi, dalla console:

grep -E "^PermitRootLogin|^PasswordAuthentication" /etc/ssh/sshd_config

Si colleghi piuttosto con un utente sudo. È del resto la configurazione da preferire.

Il menu GRUB non compare mai

Alcune immagini si avviano troppo rapidamente per lasciare una possibilità alla tastiera. In tal caso apra una richiesta di assistenza: possiamo intervenire sulla macchina. Il montaggio di un'immagine di emergenza esterna non è accessibile dall'area clienti.

Preferisce ripartire da zero

Se la macchina non contiene ancora dati, la scheda Reinstallazione è più rapida e più sicura di qualsiasi manovra sull'avvio. Cancella il disco e reinstalla il sistema con una password scelta da Lei.

Che cosa verificare dopo aver recuperato l'accesso?

La perdita di una password è un buon momento per verificare che nessun altro sia passato di lì.

find /root /home -name authorized_keys -type f -print
last -a

Il primo comando elenca le chiavi SSH autorizzate: ogni chiave che non riconosce va rimossa. Il secondo mostra gli ultimi accessi.

Aggiorni poi il sistema e passi a un'autenticazione con chiave SSH per non dipendere più da una password.