虚拟机里执行su命令切到root时报错，十有八九是root密码尚未初始化、当前用户不在sudo组或sudoers配置限制了权限，先依次排查这三处，多数情况能直接解决。
su和sudo的本质区别，决定了你该用哪种方式提权
很多人在虚拟机里遇到权限不足时,第一反应是敲su root，结果提示su: Authentication failure，这其实不是系统坏了，而是su和sudo走的根本不是同一条认证路径，su要求你输入root账户自身的密码，而sudo验证的是当前登录用户的密码，再根据sudoers规则决定是否放行，两者容易混淆，一旦搞混，就会出现“明明密码正确却切不过去”的错觉。
不同的虚拟机镜像对root账户的处理方式不一样。大多数云服务器镜像和部分本地虚拟机镜像默认禁用root密码，只分配一个有sudo权限的普通用户，目的是减少暴力破解风险，这种情况下，你直接su -当然失败，因为root根本没有可用的密码，这是很多教程没讲透的地方，也是新手最容易卡住的环节。
判断你的虚拟机到底卡在哪个环节
在动手改配置之前,先花十几秒做个精准诊断，进入终端后依次尝试以下命令：
- 执行
sudo -i，如果能直接拿到root提示符，说明你的普通用户具备sudo权限，只是su这条路不通 - 执行
sudo -v，若提示“当前用户不在sudoers文件中”，则说明用户压根没被授权 - 执行
id 用户名，查看当前用户是否属于sudo或wheel组 - 查看
/etc/passwd中root对应的shell是否为/bin/bash或/bin/sh，如果变成/sbin/nologin，说明root被禁用了
根据这几条输出,基本能锁定问题范围，对应的解决办法分场景展开。
root密码没设置过，sudo权限却被误伤
如果你拿到一台新开的虚拟机,管理员只给了普通账户，且这个账户也不在sudo组中，那就进入单用户模式或者借助宿主机来修改，绝大多数Linux发行版的救援流程是通用的，流程如下：
- 重启虚拟机,在GRUB引导界面迅速按
e进入编辑模式 - 找到以
linux开头的行，在末尾追加rd.break（适用于CentOS/RHEL系）或init=/bin/bash（适用于Ubuntu系） - 按
Ctrl+X或Ctrl+B启动进入紧急shell - 重新挂载根文件系统为可写状态：
mount -o remount,rw /sysroot（CentOS系）或直接mount -o remount,rw /（Ubuntu系） - 修改root密码后重启恢复正常登录
这套操作在本地VMware和VirtualBox虚拟机上特别好用，因为你能直接接触GRUB菜单，如果是云上的虚拟机控制台，通常也有VNC登录入口，同样能进入GRUB编辑界面。
普通用户就在sudo组，但su还是失败
这种情况最常见,假设你的用户叫tom，通过groups tom能看到用户确实在sudo组里，说明sudo授权没问题，但su认证失败，根源就是root密码没初始化，解决办法有两种，区别在于是否重启系统。
不用重启的方案：当前用户既然在sudo组，那直接执行sudo passwd root，按提示输入两次新密码，root密码就设好了，之后su -就能正常切换。
需要重启的备选方案：如果sudo也被限制了，那就只能用前面提到的单用户模式修改密码，建议优先尝试sudo模式，因为它最快且不影响虚拟机当前的运行状态。
# 设定root密码后，推荐立刻验证su是否恢复 sudo passwd root su - root
注意： Ubuntu系统默认禁用了root账户，但Debian默认不禁用，CentOS默认不禁用，这个发行版差异导致同样报错信息，解决思路完全不同，买虚拟机服务或下载镜像时，先确认发行版类型，能省掉后面一大串排查时间。
配置文件级别的权限陷阱，sudoers里藏着真正的“上层规则”
多数情况下修改密码就能解决su失败,但如果root密码明明正确，sudo执行任何命令都返回“没有权限”，那就是/etc/sudoers文件的配置问题了，这个文件的语法非常严格，少一个符号、错一个空格都会导致连锁报错。
安全修改sudoers的标准化操作
千万不要直接用vim去编辑sudoers文件,因为一旦语法错误，sudo会直接罢工，且系统不会再给你任何提权机会，正确做法是使用visudo命令，它会检查语法且只在确认无误后才写入，如果连当前用户都被踢出sudo列表了，那只能通过单用户模式挂载系统盘，手工修正文件。
把需要授权的用户加入sudo列表的核心配置是：
tom ALL=(ALL:ALL) ALL这行的意思是允许tom在任何主机上以任何用户身份执行任何命令,对应地，如果希望tom免密执行sudo，则改为：
tom ALL=(ALL:ALL) NOPASSWD:ALL行业共识认为，给用户配置sudo权限时应遵循最小够用原则只给业务相关的命令，不要直接上ALL，尤其是虚拟机面向生产环境或对外提供服务的场景，放开所有sudo权限意味着一旦普通账户被入侵，攻击者直接获得root控制权，后续风险不可控。
当sudoers文件本身被破坏时，如何自救
如果你错误地修改了sudoers导致所有sudo命令失效,此时不要慌张，有两种自救途径：
- 利用虚拟机快照回滚：如果你的虚拟化平台建有快照，直接回滚到修改前的状态，最省事
- 进入单用户模式修正：重启进入紧急模式，用
mount -o remount,rw /重新挂载文件系统，然后手动修正sudoers文件的语法错误，如果你不确定哪里错了，可以把文件内容重置为默认配置
# 在紧急shell中恢复默认sudoers（以Ubuntu为例） echo "Defaults env_reset" > /etc/sudoers echo "root ALL=(ALL:ALL) ALL" >> /etc/sudoers echo "%sudo ALL=(ALL:ALL) NOPASSWD:ALL" >> /etc/sudoers
值得注意的是,不同虚拟化平台的权限处理机制有差异，VMware默认直接将控制权交给虚拟机内部操作系统，而Proxmox VE和KVM的权限管理更依赖底层系统用户，如果在虚拟机里做了任何权限变更始终没效果，建议先确认宿主机层面的安全策略是否限制了对应操作。
忘记root密码的场景，比“权限不足”更棘手
如果你遇到的不只是切不到root,而是连root密码是什么都忘了，问题性质就变了，社区用户在咨询类似“虚拟机root密码忘了怎么进系统”时，解决方案与前面的sudoers修复思路类似，但要更细致一些。
通过GRUB重置密码的完整流程
CentOS 7/8系和Ubuntu 18.04及以上的GRUB版本操作略有区别，但在单用户模式下重置密码的底层逻辑一致，以Ubuntu 22.04为例：
- 重启虚拟机,在GRUB菜单高亮内核版本时按
e键 - 找到
linux开头的那一行，把ro quiet splash改为rw init=/bin/bash - 按
Ctrl+X引导后，你直接得到一个root shell - 执行
passwd root输入新密码，然后exec /sbin/init继续启动系统
这套方法在VirtualBox里装Windows虚拟机的场景并不需要那是Windows的密码恢复问题，路径完全不同，很多搜索“虚拟机root密码忘了怎么办”的用户其实混用了Linux和Windows的概念，这里提个醒：Windows虚拟机密码恢复依赖winpe或安全模式，不要在Linux的思维里绕。
重置后防止再次锁定的三个建议
密码重置后,最好顺手做以下几件事，避免下次再被卡在外面：
- 定期执行
chage -M 90 root强制root密码每90天更换一次 - 禁用root的SSH远程登录,日常操作全走sudo
- 在/etc/ssh/sshd_config中设置
PermitRootLogin no，防止外部直接爆破root口令
对比一下不同重置方案的时间成本,方便你按使用环境选择：
| 方案 | 耗时 | 适用场景 |
|---|---|---|
| sudo passwd root | 1分钟内 | 普通用户有sudo权限时 |
| 单用户模式重置 | 5-10分钟 | 丢失全部密码或sudoers被改坏 |
| 快照回滚 | 3-5分钟 | 虚拟化平台开放快照管理 |
| 重装系统 | 30分钟以上 | 无快照且数据可丢弃 |
方案选得好,能让你少走很多弯路，有Linux运维经验的技术人员通常首选快照回滚，因为还原的是整个干净状态，不会留下任何手工配置的隐患。
从虚拟化平台的维度理解“权限不足”的诱因
有些时候,问题不在虚拟机内部系统，而在虚拟化层本身，VMware中通过“虚拟机设置”给虚拟磁盘映射了物理磁盘分区，如果没有配置好vmx文件的disk.EnableUUID = "TRUE"参数，虚拟机内部对磁盘的权限控制可能异常，导致系统在启动时对root文件系统加载失败，产生与“权限不足”相似的报错，其他平台也有类似机制。
较新的虚拟化平台普遍启用了安全启动（Secure Boot）模式，这可能阻止加载未签名的内核模块，若你在虚拟机里安装了一些第三方驱动，root权限异常甚至可能源于驱动加载失败，这时候只要进入BIOS设置，把Secure Boot关闭，多数问题能迎刃而解。
问答环节：虚拟机root提权高频问题快速定位
问：为什么sudo能执行，su却提示认证失败，两者哪来的区别？
因为sudo认证的是当前用户的密码,而su要求的是root密码，大多数新装好的虚拟机都没有给root设置独立密码，或者root账户被锁定，所以sudo可用但su不可用，解决方法是先用sudo passwd root给root创建密码，再切换即可。
问：虚拟机里误改了sudoers文件导致所有sudo命令失效，系统还能救回来吗？
能,重启虚拟机进入GRUB菜单，按e修改内核启动参数，追加init=/bin/bash或rd.break进入紧急shell，重新挂载根文件系统为可写模式，然后手工修正sudoers文件或恢复默认内容，语法必须检查无误，最后重启虚拟机恢复正常。
问：云上购买的虚拟机忘记root密码，无法直接进入GRUB界面，还有别的办法吗？
云控制台一般提供“重置密码”功能，可以修改实例的登录密码，但部分云厂商要求实例处于关机状态才能重置，如果重置功能不可用，还可以通过控制台的VNC登录进入单用户模式，操作方式和本地虚拟机一致，云平台大多支持绑定SSH密钥，用私钥登录后执行sudo passwd root也能重置密码。
解决root切换失败的核心思路可以归纳为一句话：先把su和sudo的认证机制分清，再从密码状态、用户组归属、sudoers配置三个层面依次排查，大多数情况下，用sudo passwd root重置密码就能恢复su功能，这也是实操中最高效的起点。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e8%99%9a%e6%8b%9f%e6%9c%ba%e8%bd%ac%e5%88%b0root%e5%a4%b1%e8%b4%a5%e6%80%8e%e4%b9%88%e5%8a%9e%ef%bc%9f%e6%9d%83%e9%99%90%e4%b8%8d%e8%b6%b3%e5%a6%82%e4%bd%95%e8%a7%a3%e5%86%b3%ef%bc%9froot%e5%88%87/
