麒麟操作系统下使用 virt-customize 重置虚拟机 root 密码实战

2026-09-01 11:06

📌 背景

在运维工作中，我们经常遇到虚拟机 root 密码遗忘或需要批量初始化密码的场景。对于 KVM/QEMU 虚拟化环境，virt-customize 是一个强大的离线修改虚拟机镜像的工具。本文记录了在麒麟操作系统（Kylin） 环境下使用 virt-customize 重置 root 密码的完整过程及踩坑经验。

🖥️ 环境信息

项目	内容
宿主机操作系统	麒麟 Kylin V10 (aarch64)
虚拟化技术	KVM/QEMU (qcow2 格式)
目标虚拟机	麒麟 Kylin V10
磁盘镜像	disk-db.qcow2
工具	virt-customize (libguestfs 套件)

📦 第一步：安装 virt-customize

1.1 尝试安装 libguestfs-tools

bash

复制代码

sudo yum install libguestfs-tools

可能遇到的问题： 提示 libguestfs 已安装，但 virt-customize 命令仍然找不到。

plaintext

复制代码

Package libguestfs-1:1.49.5-5.p01.ky11.aarch64 is already installed.
bash: virt-customize: command not found

1.2 解决方法：安装工具子包

在麒麟/红帽系系统中，virt-customize 通常被拆分到独立的子包中，需要额外安装：

bash

复制代码

sudo yum install libguestfs-tools-c

或

bash

复制代码

sudo yum install guestfs-tools

安装完成后验证：

bash

复制代码

virt-customize --version

🔧 第二步：重置 root 密码

2.1 基础命令

bash

复制代码

virt-customize -a disk-db.qcow2 --root-password password:YourNewPassword

2.2 增强安全性（使用 SHA-512 加密）

默认使用 MD5 加密，安全性较低，建议指定 SHA-512：

bash

复制代码

virt-customize -a disk-db.qcow2 \
  --root-password password:YourNewPassword \
  --password-crypto sha512

2.3 密码含特殊字符的处理

如果密码包含 $、% 等特殊字符，建议使用单引号包裹，防止被 shell 解析：

bash

复制代码

virt-customize -a disk-db.qcow2 --root-password 'password:YourNewP@$$w0rd'

⚠️ 第三步：踩坑与解决

3.1 卡在 SELinux relabelling

执行过程中，命令长时间卡在以下步骤：

plaintext

复制代码

[  21.2] SELinux relabelling

原因分析：

SELinux 重新标记需要遍历整个文件系统，磁盘越大耗时越长
终端会话断开或超时会导致进程异常终止

解决方法：

方法一：耐心等待

使用 top 或 iostat 监控 CPU/IO 活动，确认是否仍在工作
对于大镜像（几十 GB），可能需要 10~30 分钟

bash

复制代码

# 监控进程是否存活
ps aux | grep virt-customize

# 监控磁盘 IO
iostat -x 1

方法二：跳过 SELinux 重新标记（快速方案）

如果确认系统不需要 SELinux 或后续可以手动修复，可以跳过这一步：

bash

复制代码

virt-customize -a disk-db.qcow2 \
  --root-password password:YourNewPassword \
  --selinux-relabel false

方法三：使用后台运行避免终端中断

bash

复制代码

# 使用 screen
screen -S customize
virt-customize -a disk-db.qcow2 --root-password password:YourNewPassword
# Ctrl+A+D 切出，screen -r customize 重新接入

# 或使用 nohup
nohup virt-customize -a disk-db.qcow2 --root-password password:YourNewPassword > customize.log 2>&1 &

3.2 进程异常中断后的处理

如果 virt-customize 因终端断开等原因中断，通常密码已经修改成功，只是 SELinux 标记未完成。此时可以：

直接启动虚拟机，用新密码登录
登录后执行以下命令，在运行中的系统里重新标记 SELinux：

bash

复制代码

touch /.autorelabel
reboot

重启后系统会自动完成 SELinux 重新标记。

✅ 第四步：验证结果

启动虚拟机，使用重置后的密码登录 root：

bash

复制代码

ssh root@<虚拟机IP>

或通过 VNC/控制台直接登录。

📊 完整命令示例（脱敏版）

bash

复制代码

# 1. 安装工具
sudo yum install libguestfs-tools-c

# 2. 重置密码（跳过 SELinux 以加速）
virt-customize -a /path/to/your-vm.qcow2 \
  --root-password 'password:YourSecurePassword' \
  --selinux-relabel false \
  --password-crypto sha512

# 3. 验证修改
virt-customize -a /path/to/your-vm.qcow2 \
  --run-command 'cat /etc/shadow | grep root'

📝 注意事项

注意事项	说明
虚拟机必须关机	`virt-customize` 只能离线修改，正在运行的虚拟机不能操作
备份镜像	操作前建议备份原镜像，防止意外损坏
密码复杂度	生产环境建议使用强密码，注意特殊字符的转义
SELinux 影响	跳过 SELinux 重新标记可能导致部分服务权限异常，建议事后处理