虚拟机密码修改与重置全攻略：VMware/Windows/Linux场景详解

1. 虚拟机密码问题的真实场景：比物理机更容易翻车

说起虚拟机密码，很多人第一反应是“这不就跟物理机改密码一样吗，有什么好写的”。但真正在运维、开发、测试环境里摸爬滚打过的人都知道，虚拟机密码问题恰恰是最容易让人抓狂的事情之一。尤其是配了VMware Workstation、VirtualBox这类桌面虚拟化工具之后，你会遇到一堆物理机上根本不会出现的诡异状况——比如密码明明输对了却提示错误，比如挂起快照恢复后密码失效，再比如整整一年没开的虚拟机，密码早就忘得一干二净。

我自己就栽过一个大跟头。有一年给客户搭了一套Ubuntu Server的测试环境，用的VMware Workstation，配好之后放那儿就没动过。三个月后客户说有份数据需要从里面导出来，联系人已经离职，密码交接记录也没留下。当时我面对的是一台锁死的Ubuntu虚拟机，里面有一份数据库备份文件。那个下午我试遍了所有能想到的办法，从单用户模式到Live CD再到直接改shadow文件，最后总算把密码重置了。从那之后我养成了一个习惯：凡是创建的虚拟机，密码策略和重置方案必须提前确定，以防万一。

其实虚拟机密码问题的麻烦之处在于，它叠加了两层复杂度。第一层是操作系统本身的密码机制，Windows有SAM数据库，Linux有shadow文件，两种体系的认证逻辑完全不同。第二层是虚拟化层带来的特殊性——虚拟机的磁盘本质是一个文件，这意味着你有更多“绕过密码”的手段，比如挂载磁盘、替换系统文件、直接编辑认证数据库。但也正因为如此，操作不当的后果也被放大了，改坏了虚拟磁盘，整台机器就真的起不来了。

这篇文章就围绕“虚拟机的密码修改”这个主题，把正常修改、忘记密码重置、VMware环境下的特殊问题、以及密码管理技巧这几个方向讲透。不管你是刚装好VMware虚拟机准备设密码的新手，还是已经跑着几十台虚拟机、突然发现某台机器密码失效的老手，这篇内容都能给你一个清晰的应对思路。

2. 正常情况下的虚拟机密码修改：说三遍都不嫌多的基本原则

2.1 Windows虚拟机改密码：别只在客户机里改

大多数人在Windows虚拟机里改密码，就是直接登录系统，按Ctrl+Alt+Delete，然后选择“更改密码”。这当然没错，但有几个细节值得注意。

第一，虚拟机里按Ctrl+Alt+Delete和物理机不太一样。如果你用的是VMware Workstation，鼠标被虚拟机捕获后，直接按这个组合键可能没有反应。原因很简单：这个组合键被宿主机拦截了。正确做法是从VMware菜单栏选择“虚拟机”→“发送Ctrl+Alt+Del”。如果你用的是VirtualBox，快捷键默认是Host键（通常是右Ctrl）加Del。这个细节看起来不起眼，但确实有很多人卡在这里。

第二，Windows虚拟机的账户密码修改，本质上改的是SAM数据库中的哈希值。当你登录系统修改密码时，系统会调用NetUserChangePassword之类的API，然后更新SAM库中的NTLM哈希。这个过程本身没什么特别的，但如果虚拟机启用了BitLocker加密，或者加入了域环境，情况就复杂了——改密码可能触发BitLocker恢复密钥的验证，或者受域策略限制，你必须满足密码复杂性要求。

第三，也是我最想强调的一点：如果你在VMware里开启了“快照”功能，改密码之前最好先想一想。快照记录的是虚拟机的磁盘状态、内存状态和硬件配置。如果你在某个快照基础上改了密码，然后回滚到旧快照，密码也会跟着变回去。曾经有人用旧快照恢复了虚拟机，结果密码被回退成了初始密码，自己却不知情，反复尝试新密码都失败，最后误以为虚拟磁盘损坏了。这种问题排查起来非常费劲，但根因其实很简单——快照回滚导致密码状态回到了历史节点。

2.2 Linux虚拟机改密码：passwd命令背后的认证机制

Linux虚拟机的密码修改，核心命令就是passwd。但你要理解这个命令背后做了什么，才能在出问题时知道怎么排查。

Linux系统存储密码的地方是/etc/shadow文件，这个文件只有root用户能读取。每行对应一个用户，格式大约是这样：

code复制username:$6$salt$hashedpassword:18000:0:99999:7:::

其中$6$表示使用的是SHA-512哈希算法，后面跟着盐值（salt）和哈希结果。密码修改的过程就是生成新的盐值，然后计算新密码的哈希，最后更新shadow文件。

用passwd修改密码时，有几个实用的小参数值得掌握：

• passwd：修改当前用户的密码
• sudo passwd root：给root用户设置密码
• sudo passwd username：修改指定用户的密码
• sudo passwd -l username：锁定用户密码，锁定后无法登录
• sudo passwd -u username：解锁用户密码

如果你是第一次用Ubuntu虚拟机，可能会遇到sudo需要密码的情况。这个时候如果连普通用户密码也忘了，就得进入恢复模式来处理，具体方法后面会详细讲。

顺带说一句，通过SSH远程登录虚拟机修改密码，和直接在控制台上改其实没有本质区别——最终改的都是shadow文件。但SSH方式有个额外风险：一旦你改密码时断开了连接，当前的SSH会话通常还是保持有效的（因为SSH会话已经建立了），但新会话就得用新密码。如果你改了一半网络断了，两端状态不一致，很容易造成困惑。

2.3 修改虚拟机登录密码的高频踩坑场景

在实际操作中，有几个场景特别容易出错，我单独列出来讲。

第一个场景是“密码已修改，但虚拟机自带的自动登录失效”。有些Windows虚拟机会配置自动登录，方便开发环境启动后直接进桌面。如果你改了密码但忘了同步自动登录设置，重启后系统会卡在登录界面，输入新密码才能进。VMware的自动登录配置在注册表的Winlogon键下，修改密码后需要同步更新DefaultPassword的值。路径是：

code复制HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

如果你是Linux虚拟机，自动登录对应的设置可能在GDM或者LightDM的配置里，改了密码后同样需要同步，否则图形界面会需要手动输入密码。

第二个场景是“克隆或复制虚拟机后，密码策略混乱”。VMware支持克隆虚拟机，但克隆出来的虚拟机如果使用了多个快照或者sysprep未正确执行，可能会导致密码策略异常。比如源虚拟机的密码过期策略是90天，克隆之后你可能会收到密码过期警告。针对这种情况，建议在克隆后第一时间检查密码策略：

Windows下用net accounts查看密码策略，Linux下用chage -l username查看用户密码有效期。

第三个场景比较邪门——“键盘布局导致密码输入错误”。有一个真实的案例，虚拟机的操作系统是德语版Windows，安装时选了德语键盘布局，用户用英语键盘输密码时，y和z是反的。还有数字小键盘的问题，如果没有开启NumLock，输入的数字密码会全错。排查这种问题确实要细心，但每当我遇到密码怎么都对不上的情况，第一件事就是检查键盘布局和NumLock状态。

3. 忘记虚拟机密码的救援之路：Windows和Linux全方案拆解

3.1 Windows虚拟机忘记密码：利用安装镜像与工具绕过

Windows虚拟机的密码重置相对容易，核心思路是利用Windows安装介质进入恢复环境，然后借助工具修改SAM数据库。这里我推荐两种方法，一种是用通用PE工具，另一种是用原版镜像的命令行方式。

第一种方法是最省事的：准备一个带密码重置工具的PE镜像（比如微PE、优启通，或者是包含类似NT密码编辑器的工具），挂载到虚拟机的光驱，启动进入PE系统，然后运行密码重置工具。在PE里，密码重置工具直接读取虚拟磁盘上的SAM文件，修改指定用户的密码。整个过程基本是图形化点击，操作门槛很低。

第二种方法更“硬核”一点，但只依赖原版安装镜像，不引入第三方工具。大致流程是这样的：

1. 设置虚拟机从Windows安装镜像启动。
2. 进入安装界面后，按Shift+F10打开命令提示符。
3. 通过diskpart找出Windows系统所在分区，然后备份和替换粘滞键程序utilman.exe为cmd.exe。
4. 重启虚拟机，在登录界面点击“轻松访问”按钮，此时弹出的就是命令提示符。
5. 在命令提示符里执行net user username newpassword来重置密码。

这个方法的原理其实很清晰：Windows登录界面有一个“轻松访问”工具入口，正常情况下会启动utilman.exe。我们把它替换成cmd.exe，就相当于在系统登录前拿到了一个系统权限的命令行窗口。执行完密码重置后，再把utilman.exe恢复原样，避免留下安全隐患。

很多人会问，用这种第三方工具或者替换系统文件的方式，会不会影响虚拟机原系统。我的回答是：只要操作过程中没有误改其他系统文件，不破坏SAM数据库结构，基本不会对系统造成影响。密码重置工具修改的只是SAM文件中的密码哈希，系统的其他数据、文件、程序都原封不动。

但要注意一个关键前提：如果虚拟机启用了BitLocker整盘加密，那这些方法都会碰壁。因为PE系统或WinRE无法读取加密卷上的SAM文件。这种情况你需要先获取BitLocker恢复密钥，在PE环境里解锁磁盘，然后才能进行密码重置。所以，那些给虚拟机开了BitLocker的朋友，请务必把恢复密钥备份到宿主机或者云存储上。

3.2 Linux虚拟机忘记密码：三种从零开始的破解方法

Linux虚拟机的密码重置方法比Windows更丰富，这里我重点讲三种可靠的方案。

方案一：GRUB编辑进入单用户模式

这个方法适用于大多数主流Linux发行版，操作核心是在GRUB引导菜单中修改内核启动参数，让系统直接进入单用户模式或者以init=/bin/bash方式引导。

具体步骤以Ubuntu 20.04为例：

1. 启动虚拟机，在GRUB菜单出现时，选中内核那一行，按e进入编辑模式。
2. 找到以linux开头的那一行，在末尾追加single或init=/bin/bash。
   • 如果追加single，系统会进入单用户模式，直接获得root shell。
   • 如果追加init=/bin/bash，系统会跳过所有服务直接进入bash，但此时文件系统通常是只读挂载的，需要先执行mount -o remount,rw /来重新挂载为可读写。
3. 按Ctrl+X或F10启动，进入shell后执行passwd root或者passwd 用户名来设置新密码。
4. 执行reboot -f强制重启。

这个方法在绝大多数场景下都是有效的。但Secure Boot开启的UEFI模式可能会对GRUB参数修改做出限制，部分Linux发行版会校验引导参数。如果你遇到这种情况，可以尝试在GRUB引导菜单里进入“Advanced options”选择恢复模式，再选择“root”进入root shell。

方案二：Live CD挂载虚拟磁盘修改shadow

如果你的系统开启了SELinux或者AppArmor，又或者单用户模式的进入步骤被系统限制住了，那方案二就更稳妥——用一个Live系统盘启动虚拟机，然后挂载虚拟磁盘，直接修改shadow文件。

具体操作分为三步：

第一步，准备一个Ubuntu Desktop或类似的Live ISO，挂载到虚拟机的CD/DVD光驱上，设置光驱优先启动。启动后选择“试用Ubuntu”，进入Live系统桌面。

第二步，打开终端，用lsblk或fdisk -l查看磁盘信息。找到Linux系统所在分区，比如/dev/sda1，然后挂载到/mnt目录：

bash复制sudo mkdir -p /mnt
sudo mount /dev/sda1 /mnt

如果你的Linux系统/boot和根分区是分离的，或者有独立的EFI分区，可能还需要逐个挂载。但对于大多数简单分区方案，这一步就够了。

第三步，用chroot进入原系统环境，然后修改密码：

bash复制sudo mount --bind /dev /mnt/dev
sudo mount --bind /proc /mnt/proc
sudo mount --bind /sys /mnt/sys
sudo chroot /mnt
passwd root
exit

这个做法的本质是，Live系统给了你一个“外挂”的操作环境，你可以通过挂载虚拟磁盘的方式访问原系统文件，然后利用chroot切换到原来的根目录环境，执行passwd命令。由于此时你已经有了root权限，改密码自然畅通无阻。

这里有一个容易踩的坑：如果你挂载磁盘后直接编辑/etc/shadow文件而不是用passwd命令，要小心不能搞乱文件格式。shadow文件每一行的字段顺序、冒号分隔的位置都不能错。我自己就见过有人想手动清空密码哈希来绕过密码，结果把shadow文件改坏了，系统直接无法登录。所以我的建议是，能用passwd就用passwd，不要手动编辑敏感文件，除非你非常清楚自己在做什么。

方案三：虚拟机磁盘分离后再挂载

这个方案严格来说是VMware场景下的思路：如果虚拟机没法启动到单用户模式，也没有Live ISO可用，你可以把这台虚拟机的虚拟磁盘文件（比如ubuntu.vmdk）从原虚拟机分离，然后挂载到另一台正常的虚拟机或宿主机上，作为第二块硬盘，再按上述Live系统的方式处理。

比如你有一台正常的Ubuntu虚拟机，里面运行着系统，你可以把忘记密码那台虚拟机的vmdk作为第二块硬盘添加进去，启动后在正常的系统里挂载这块盘，修改shadow文件，再把磁盘拆回去。这个方法适合那些无法用光驱引导的特殊环境，本质上就是“用一台好的机器去救一台坏掉的机器”。

3.3 重置密码之后的排查：数据还在，服务还活着吗

密码重置成功不等于万事大吉，充其量只是“能进门了”。进门之后还有几件事我建议你逐一确认。

第一件事是确认数据完整性。重置密码本身不会动用户数据，但如果在重置过程中误操作了磁盘分区，可能在挂载阶段出现问题。建议登录后先确认关键目录和文件都在，特别是/home或C:\Users下的数据。

第二件事是检查系统服务的运行状态。尤其是Linux虚拟机，当你在单用户模式下强制重启时，有些服务可能没有正常启动。比如Nginx挂了、MySQL没起来、防火墙策略变了等等。可以通过systemctl list-units --failed快速查看失败的服务单元。

第三件事是处理密码重置带来的连锁影响。如果你改了root密码，那所有依赖root权限的定时任务、脚本、监控程序可能都会受影响。比如有些脚本是通过crontab调用并使用了内嵌的账号密码，你需要在改动后同步更新。

最后一件事是重新备份快照。无论你用了哪种重置方法，重置完成并且系统验证无误后，立刻删除旧的可能保留密码状态的快照，拍一个新的“健康快照”。这样以后万一再出状况，你至少有一个已知密码且状态正常的恢复点，不用再从零开始折腾。

4. VMware环境下的虚拟机密码修改：快照、克隆和网络热词背后的真相

4.1 快照、克隆和密码的“状态绑定”关系

VMware的日常使用中，快照和克隆算是最常用的两个功能，但这两个功能和密码之间的关系，很容易被忽略。

先说快照。快照的原理是“写时复制”，它会记录虚拟机在某一个时刻的数据状态。如果你在快照A（密码是password123）之后修改了密码为password456，然后又回滚到快照A，那系统里存的密码依然还是password123。这个逻辑本身不复杂，但实际场景中经常变成“薛定谔的密码”：你明明记得改过密码，可系统告诉你密码错误，原因就是快照回滚把状态带回去了。

更麻烦的情况是快照链叠加。比如你依次创建了快照1、快照2、快照3，在快照3状态下密码是C，然后你回滚到快照2，密码是B。过了一段时间你又基于快照2派生了新的快照4，此时密码还是B。这种多层级状态很容易让人混淆，所以我强烈建议：

• 创建虚拟机后，设定好初始密码就立刻打一个“基础快照”。
• 每次修改密码后，如果系统运行稳定，再打一个新的“稳定快照”。
• 别保留过多历史快照，尤其是那些密码状态已经不可考的老快照。

再说克隆。克隆分为链接克隆和完整克隆。链接克隆依赖父虚拟机的磁盘状态，父虚拟机的密码策略会影响克隆体。如果你克隆了一台虚拟机，而父虚拟机开了“无需密码登录”或者有一些SSH密钥配置，克隆体可能也会继承这些设置。这一点对于安全隔离环境尤其重要——生产环境的虚拟机克隆到测试环境，一定要确认密码和密钥已经更换，否则就相当于把生产环境的访问凭证直接带出去了。

4.2 为什么VMware Workstation会提示“无法连接到虚拟机”

这个标题是热搜词“vmware workstation 无法连接到虚拟机。请确保您有权运行该程序、访问该程序使用该程序的所有目录”里的核心痛点，也是我在处理虚拟机密码问题时经常遇到的伴生问题。

这个报错在修改密码的场景下特别容易出现。典型的触发路径是：你正在虚拟机里修改密码，VMware的VMX进程异常退出，或者宿主机磁盘空间满了，导致虚拟机的锁文件（.lck目录）没有释放。再次启动时，VMware Workstation就认为这台虚拟机正在被其他进程占用，于是报出“无法连接”的错误。

排查思路大概是这样的：

1. 确认是否有VMware相关进程残留在任务管理器中。
2. 找到虚拟机所在目录，删掉所有.lck后缀的文件和文件夹。这一步需要先关闭VMware Workstation，否则锁文件可能还在被占用。
3. 检查磁盘空间，VMware运行中需要写日志文件，磁盘满了也会触发各种诡异问题。
4. 检查虚拟机的.vmx配置文件是否有异常。如果你之前编辑过，记得确认硬件配置项没有语法错误。

如果你在虚拟机里修改密码时屏幕卡死，强制关闭虚拟机后遇到这个报错，多半就是锁文件问题。删掉.lck目录基本就能解决。

4.3 Ubuntu虚拟机网络图标出现问号的典型原因与修复

热搜词里有“ubuntu 虚拟机网络上有个？”这个描述，这也是和密码修改强相关的一个问题。很多人在重置密码后，重启Ubuntu虚拟机，发现网络图标变成了问号，明明能上网，图标却不正常，或者干脆连不上网。

如果密码重置后出现这个问题，优先考虑两种可能。

第一种是网络管理服务没有正常启动。Ubuntu使用NetworkManager管理网络连接，在单用户模式启动或强制重启时，NetworkManager可能没有拉起。检查方式：

bash复制systemctl status NetworkManager

如果服务处于失败状态，重启服务或重新启用网络接口：

bash复制sudo systemctl restart NetworkManager

第二种是网卡名称漂移或配置丢失。如果你在重置密码过程中改动了系统配置，或者虚拟机的网络适配器设置发生了变化（比如从NAT改成了桥接），网卡名可能从ens33变成eth0，导致网络配置对不上。可以用ip addr查看当前网卡名称，然后检查/etc/netplan/下的配置文件。Ubuntu 18.04之后使用netplan，修改后执行sudo netplan apply生效。

另外还有一个容易被忽略的因素：time同步问题。如果你重置密码后，虚拟机的系统时间与宿主机偏差过大，可能导致通过DHCP获取的租约异常，表现出来就是网络异常。用timedatectl set-ntp true重新同步时间，有时候也能解决图标异常问题。

5. 虚拟机密码的管理思路：从根源上减少“找回密码”的折腾

5.1 虚拟机密码策略从哪里开始：建立初始密码和命名规范

虚拟机密码的问题，最好的解决方案其实不是会各种重置技巧，而是让“忘记密码”这件事压根不发生，或者至少让可恢复性变得可控。

我个人的习惯是从创建虚拟机那一刻就规范起来。每一台虚拟机都遵循一个命名和密码策略模板。比如测试环境的虚拟机统一用test-<项目名>-<日期>，密码用统一的强密码记录在团队的密码管理工具里。生产环境的虚拟机则严格使用独立密码，并开启密钥登录（Linux）或用强密码加Bitlocker（Windows）。

不是每个人都有条件搭建企业级的密码管理系统，但至少可以做到：

• 统一记录：密码不要只存在某一个人的脑子里，用Keepass或其他本地加密的密码库管理。
• 定期轮换：虚拟机长期不用的，再次启动前先想清楚密码是否过期。
• 留好恢复通道：Windows虚拟机保留密码重置工具的ISO镜像，Linux虚拟机保留一份LiveCD ISO，放在宿主机固定目录下，用时随时挂载。

5.2 快照是最佳的“后悔药”，但别指望它解决一切

针对“密码忘记”这种场景，快照确实能派上用场——如果你有一个创建后从未改过密码的快照，恢复到那个快照，密码就回到了初始状态。但快照不是万能的，它有几个局限性你要有清晰认知。

第一，快照会占用磁盘空间。每创建一个快照，虚拟磁盘的数据量就会增加，尤其是有大量写入时，快照文件增长很快。保留太多快照会导致宿主机磁盘吃紧。

第二，快照并不能永远保存。VMware的快照在一定条件下会失效或损坏，尤其是虚拟机运行中直接删除快照文件，或者磁盘IO异常时。

第三，快照保存的“密码状态”可能不是你以为的“密码”。比如Windows虚拟机开启了动态密码或智能卡登录，快照恢复后的登录逻辑可能和初始状态不同。

所以我的常规建议是：不要依赖快照来保存密码。快照的定位应该是“回滚到正常状态”的保障，而不是“找回密码”的密钥库。

5.3 通过SSH密钥和云初始化来规避密码问题

如果你是经常创建Linux虚拟机，尤其是用模板批量部署的，SSH密钥认证和cloud-init可以大幅降低密码管理的负担。

用cloud-init可以在虚拟机首次启动时注入初始密码或公钥。比如在VMware模板机里装好cloud-init，每次克隆后用Data Source的方式传入用户的公钥，这样就不需要设置固定密码了。即使后续密码丢失，只要公钥还在，你就可以通过SSH密钥登录系统，再用passwd修改密码。

Windows虚拟机也有类似的机制。通过VMware的vmtoolsd或系统准备工具（sysprep）配置管理员密码，或者在域环境里用GPO推密码策略，都能做到密码的集中管理。

如果你管理的虚拟机数量上来了，这种方式能节省大量时间，也能避免因为密码泄露导致的一连串安全问题。至少我见过太多团队，一台模板虚拟机跑到底，所有服务器都用一个密码，如果有人离职还带着密码走，整个环境都暴露了。

6. 实操经验：我处理过的虚拟机密码疑难杂症

在日常的虚拟机密码处理过程中，除了常规的重置方法，还有几个比较细碎的经验值得分享，它们往往是在标准教程里找不到的。

6.1 Windows虚拟机密码重置后，用户配置文件提示“临时配置文件”

Windows虚拟机在通过PE工具或者命令行重置密码后，第一次登录系统时，有时会提示“您已使用临时配置文件登录”。这是因为重置密码后，系统在加载用户配置文件时发现注册表里的ProfileList路径和实际用户目录不一致，常见于重置了管理员密码但用户目录还是旧的SID对应关系。

解决方法是登录后修改注册表：

1. 打开regedit，进入HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList。
2. 找到对应SID的子键，里面有一个ProfileImagePath值，确认它指向正确的用户目录（比如C:\Users\Administrator）。
3. 如果是重复的SID条目，删除带.bak后缀的那一项，保留正常的一项。
4. 重启验证。

这个坑很隐蔽，遇到“密码重置成功但桌面变成全新初始状态”的情况，十有八九就是这个问题。

6.2 Linux虚拟机重置密码后SSH无法连接

Linux虚拟机使用init=/bin/bash方式重置密码后，有可能出现SSH服务无法连接的情况。原因在于，这种方式进入的系统没有完整启动所有服务，如果你之后没有把系统的默认运行级别处理好，SSH服务可能处于未启用状态。

处理方式是：

bash复制sudo systemctl enable ssh
sudo systemctl start ssh

同时要注意SELinux或者AppArmor可能阻止了SSH读取新密码哈希的权限。如果开启了SELinux，建议检查/etc/shadow文件的上下文是否正确：

bash复制sudo restorecon -v /etc/shadow

6.3 大规模虚拟机密码轮换的自动化脚本思路

如果你手上的虚拟机数量在一百台以上，手动一台台改密码显然不现实。这种情况下我建议你走自动化方案。

对于Linux虚拟机，可以基于Ansible跑一个密码轮换Playbook，核心逻辑大致如下：

1. 用SSH密钥连接所有目标虚拟机。
2. 生成随机强密码，用ansible.builtin.user模块更新用户密码。
3. 更新每个用户的密码到期时间，确保强制下次登录修改。
4. 把生成的密码加密存到密码管理器中。

对于Windows虚拟机，可以用PowerShell远程脚本或者Group Policy来统一更新密码。PowerShell脚本思路是：

1. 通过WinRM连接目标虚拟机。
2. 使用Set-LocalUser -Name administrator -Password (ConvertTo-SecureString "新密码" -AsPlainText -Force)修改密码。
3. 启用“密码永不过期”或设置合理的过期策略。

自动化轮换密码不仅可以降低密码管理成本，也符合最小权限和安全基线的要求。唯一需要注意的是，自动化执行之前一定要先在测试虚拟机里跑一遍，确认脚本兼容性和权限设置无误，否则一旦批量执行出错，几百台机器同时锁死，后果相当严重。

6.4 配置VMware虚拟机的“主机共享文件夹”来预留备份通道

刚才在前面提到了很多重置密码的方法，但实际上有一个更优雅的防呆设计：在VMware虚拟机中提前配置一个主机共享文件夹，用于存放密码恢复脚本、备份密钥和紧急联系信息。

以Linux虚拟机为例，你可以把VMware Shared Folders挂载到/mnt/hgfs下，然后在里面放一份“紧急救援包”，包括LiveCD的ISO文件、密码恢复工具的安装包、以及一个写着“如果忘记密码，请按以下步骤操作”的说明文档。Windows虚拟机同理，可以在共享文件夹里放入密码重置工具的镜像和说明。

这样当你真的忘记密码时，不需要满世界找ISO、找教程，直接在宿主机上就可以打开共享文件夹，按部就班操作即可。这个习惯看似简单，但关键时刻真的能省下几个小时。

7. 最后想说的几句实话

虚拟机密码修改这件事，本质上考验的不是你会用多少命令，而是你对虚拟化环境整体状态的理解。从系统层面看，Windows密码和Linux密码的存储机制完全不同；从虚拟化层面看，快照、克隆、虚拟机磁盘文件、网络适配器、资源占用，任何一层出问题都可能让一次看似简单的密码修改变成一场耗时数小时的救援行动。

我个人的体会是，处理虚拟机密码问题最忌讳的就是在焦虑状态下乱试。密码重置不成功时，先冷静判断问题究竟出在哪一层——是密码输入问题、认证机制问题、还是虚拟化环境本身的问题。用排除法一步步缩小范围，远比暴力尝试要高效。

如果你能建立一套相对规范的虚拟机密码管理机制，在创建虚拟机时就预留好恢复通道、拍好快照、记录好初始密码，那么在绝大多数场景下，你根本不会走到“忘记密码”那一步。当然，万一真走到了，这篇文章里的方法也足够你从容应对了。