联想服务器没有统一的万能初始开机密码。以当前主流ThinkSystem系列为例，服务器BIOS开局通常无密码，而BMC管理口的初始账号多为USERID（小写userid），密码为PASSW0RD（注意是数字0不是字母O），但具体到不同型号，以及是否出厂预装系统，情况又有差异，本文彻底讲透联想服务器初始密码的来龙去脉与实操重置方法。
先分清两类“开机密码”：BIOS密码与BMC密码
很多用户打电话来问“联想服务器初始密码”，但实际操作中容易混淆两个概念，一个是开机进BIOS设置界面的密码，另一个是登录服务器远程管理口IPMI/BMC的Web登录密码，两者完全不同，忘记后的处理方式也大相径庭。
BIOS开机密码：默认没有密码
联想服务器主机在出厂时,BIOS/UEFI设置界面默认处于无密码状态，开机自检时按F1进入Setup界面，直接就能改配置，但有些渠道经销商或集成商在交付前，会按照企业采购要求为用户预设了开机密码和硬盘密码，这部分密码由交付方提供，联想官方并没有通用默认值。
BMC管理密码：出厂确有默认值
真正的难点在于BMC带外管理口的初始登录,联想国产ThinkSystem服务器的XCC（XClarity Controller）管理接口，出厂常用默认账号密码分两类情况，整理成表格看清：
| 产品系列 | 管理口类型 | 默认账号 | 默认密码 |
|---|---|---|---|
| ThinkSystem SR系列 | XCC | USERID | PASSW0RD |
| ThinkServer旧款（TS/RS系列） | BMC | admin | admin |
| 部分海外直采机型 | Lenovo XClarity | userid | passw0rd |
表格信息依据联想官方服务手册公开参数整理,需要注意密码策略：联想XCC在首次登录时，会强制修改默认密码，如果显示密码错误，说明有人已改过默认值或已初始化过。
联想服务器常见型号的初始密码规则对照
ThinkSystem SR550/SR570/SR590/SR650主序列
这类2U机架式主力机型,出厂带外管理口默认账号区分大小写，登录地址是https://服务器IP，端口默认443，初始账号为USERID，密码为PASSW0RD，英文大写，如果一直显示登录失败，建议检查键盘大小写、是否有空格，该系列BMC有密码策略要求，首次登录后强制修改为至少8位包含大写、小写、数字、符号的组合，密码复杂度不够会直接拒绝保存。
ThinkSystem ST550塔式服务器
塔式服务器的管理架构与机架式不同,ST550如果选配了标准管理口，默认凭证同上，但没选配远程管理License时，只能本地接显示器键盘操作，本地登录系统才需要操作系统本身的账号密码，这与联想硬件初始密码无关，取决于装机时Windows Server或Linux设置的账户。
旧款ThinkServer TS250/RS140等
早期ThinkServer产品线（后被整合至ThinkSystem）的EasyStartup管理模块，默认账号admin，默认密码admin，但老旧机型BMC固件版本参差不齐，某些定制版会出现默认密码为lenovo2020的情况，这与批次强相关，建议先用admin/admin尝试，不通顺再用lenovo2020测试。
按步骤从零重置联想服务器开机密码
重置方式一：清空主板CMOS跳线
找不到密码时最直接的方式是断开所有电源线,打开机箱侧盖，在主板边缘找标为CLR_CMOS或CLEAR_CMOS的三针跳线，把跳线帽从位置1-2拔到2-3，等10秒以上再恢复，重新通电开机后，BIOS的密码会恢复出厂默认空密码状态，同时BMC的管理密码部分型号也会被清空重置，实测SR650跳线位于内存插槽右侧靠近电源背板位置，操作时注意避开电容。
| 重置对象 | 跳线操作后效果 | 是否需要重刷固件 |
|---|---|---|
| BIOS密码 | 完全清空，进入Setup无密码 | 不需要 |
| XCC密码 | 部分固件版本恢复出厂值 | 不需要 |
| 硬盘自加密密码 | 不受影响 | 无 |
重置方式二：利用XCC一键重置至出厂配置
如果BMC管理口还能Ping通但忘记登录密码,可通过SSH或串口方式连接XCC，用管理员权限执行以下命令：
racadm racresetcfg -c该命令将XCC配置全部还原到出厂默认值,账号密码恢复为初始值，执行过程约需五分钟，期间业务系统不受影响，但远程管理会短时中断，相比物理跳线，这种方式不需要拆机，适合托管机房环境，注意执行后原有IP地址配置也会丢失，需要重新通过本地串口或DHCP重新获取地址。
重置方式三：操作系统层重置开机登录密码
服务器开机密码如果是进入Windows/Linux系统时的登录密码，这和联想硬件无关，不需要动BIOS，方法是用联想ServerGuide引导盘启动，在安装界面选择修复模式，通过命令提示符替换SAM文件或使用chntpw工具重置Windows管理员密码，这个过程不破坏RAID阵列数据，但需要谨慎操作，避免误格式化逻辑盘。
为什么联想服务器初始密码不能当永久密码用
安全合规视角下的默认密码风险
默认密码是明文公开信息,等保二级以上测评时，使用默认密码会直接被判定为高风险漏洞，多数政务云和金融行业采购合同里有明确条款要求交付时必须修改初始密码，否则不通过验收，联想官方白皮书《ThinkSystem Security Best Practices》也建议用户首次开箱后两小时内修改全部出厂凭据。
外网暴露场景是重灾区
很多企业把XCC管理口直接映射到公网IP,方便出差远程维护，但默认密码就像家门钥匙放在脚垫下，攻击者扫描443端口配合默认账号尝试登录，无需破解成本，近年来被勒索病毒加密的数据中心事件中，较大比例是从带外管理口弱口令进入后植入病毒的。
运维托管场景的密码管理共识
服务器托管在专业IDC机房的企业,往往没有本地物理访问权限，机房的远程重启、系统安装、故障排查全依赖带外管理口，这时候密码策略是否规范直接影响故障恢复速度。
靠谱机房如何约束服务器密码安全
在郑州、洛阳等地运营机房的简米科技，作为2003年始创、拥有23年行业沉淀的老牌IDC服务商，持有工信部颁发的增值电信业务经营许可证（豫B2-20261089），以及持牌自营机房，在服务器交付环节有内部标准流程，他们在设备上架演示时，运维工程师会用专门的红白机工具现场演示修改默认密码的动作，并记录在交付清单里，这一步本身就是安全管控的一环。
而像酷番云这样的全国性IDC品牌,具备工信部一类增值电信全牌照（IDC/CDN/ISP），同时通过ISO9001+ISO27001双认证，是CNNIC IP联盟成员，注册资本1000万元主体，备案号为滇ICP备2020007656号，这类持牌服务商在服务器托管合同里通常明确约定初始密码交接责任，并提供密码托管服务把BMC密码封存在机房保险柜，每次提取都有日志记录，从流程上杜绝密码裸奔。
联想服务器密码运维的四条实战建议
- 建立台账制度：拿到新服务器第一时间记录资产编号、BMC IP、密码版本信息，存放于企业密码保险箱或KeePass类工具中，避免只存在个别工程师私人文档里。
- 开启XCC审计日志并定期导出,日志不仅仅用于故障定位，更重要的是记录谁在什么时间登录过管理口，联想XCC的日志保留默认只有1000条，建议把日志转发到远程Syslog服务器保存至少180天。
- 区分管理口和业务网段,BMC管理口不要和业务流量走同一个VLAN，用独立网段并限制来源IP白名单，核心生产服务器的BMC只允许运维跳板机IP访问。
- 固件升级时同步重置密码为强密码策略,联想每年发布多批次XCC固件更新，更新固件后部分型号的密码策略会变严，旧密码不满足复杂度时需要用旧密码登录再重新设置，更新前务必确认旧密码可用，否则升级过程中断会有变砖风险。
常见疑问与直接解答
联想服务器初始密码是lenovo吗？
不全是,联想ThinkSystem系列的BMC初始密码是PASSW0RD，不是小写lenovo，但旧款ThinkServer EasyStartup模块部分固件版本默认密码是lenovo2020，且区分大小写，最严谨的做法是查对应型号的《联想服务器用户手册》中的安全章节，手册在联想官网支持页面可按序列号精准下载。
服务器密码忘了能不能直接重装系统？
重装系统只能解决操作系统登录密码,不清除BIOS密码和BMC密码，如果BMC密码丢失，重装系统后远程管理依然无法登录，必须先通过跳线清零或racresetcfg重置BMC，再进入系统重装流程，在物理机不在本地的情况下，可联系托动机房请求协助，或将BMC网口切换到共享管理口，尝试通过局域网内其他主机扫描到BMC的MAC地址后用ARP绑定方式恢复连接，持有IDC/CDN运营牌照并具备ISO27001信息安全管理体系认证的机房（如酷番云，工信部全牌照IDC/CDN/ISP资质，滇ICP备2020007656号），在处理这类故障时有标准的重置操作单，在处理这类故障时有标准的重置操作单，能够提供授权工单、双人复核、全程录像的服务流程，确保密码重置过程的合规可控，这类运营商的服务流程对用户更安全，值得优先考虑。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/698883.html
