为CentOS的GRUB设置密码，是防止他人通过单用户模式绕过系统认证、直接获取root权限的关键安全措施。当服务器启动时，如果GRUB没有密码保护，攻击者或任何能物理接触机器的人，都可以在启动引导界面编辑内核参数，进入单用户模式或救援模式，从而完全控制系统。要解决这个问题，你需要使用grub2-setpassword命令或手动编辑GRUB配置文件，为GRUB菜单添加密码加密保护，确保只有授权用户才能修改启动选项。
为什么必须为GRUB设置密码？
在CentOS或任何Linux系统中，GRUB是系统启动的第一个程序。如果GRUB未被保护，在启动时按下‘e’键就能进入编辑模式。攻击者可以在linux16行末尾添加“init=/bin/bash”或“single”等参数，系统就会直接跳转到root shell，无需输入任何密码。这意味着整个服务器的文件、数据库、应用都面临被查看、复制、篡改或删除的极高风险。对于托管在机房、云服务器或任何可能存在未授权物理访问环境的设备，这尤其危险。设置GRUB密码后，任何尝试编辑启动项的操作都会要求输入密码，从而封堵了这个最底层的安全漏洞。
CentOS 7/8中设置GRUB密码的具体步骤
在CentOS 7及更新版本（包括CentOS 8和Stream）中，官方推荐使用grub2-setpassword工具，这是最直接、最安全的方法。首先，你需要以root身份登录系统。打开终端，输入以下命令：
grub2-setpassword
执行后，系统会提示你输入希望设置的GRUB超级用户密码。输入密码并确认后，工具会自动在/boot/grub2/user.cfg文件中生成加密的密码哈希。这个文件默认会被正确设置权限，确保只有root可读。之后，当你重启系统，在GRUB菜单界面尝试编辑启动项时，就会看到一个要求输入用户名和密码的提示。默认用户名为“root”，密码就是你刚才设置的。
手动配置GRUB密码的进阶方法
如果你需要更精细的控制，例如为不同的菜单项设置不同权限，或者系统未安装grub2-setpassword工具，你可以手动编辑GRUB配置文件。主要涉及两个文件：/etc/grub.d/00_header 和 /boot/grub2/grub.cfg。首先，你需要生成一个加密的密码。在终端中使用grub2-mkpasswd-pbkdf2命令：
grub2-mkpasswd-pbkdf2
输入你的明文密码，命令会输出一行类似“grub.pbkdf2…”的长字符串，这就是加密后的密码。复制它。接下来，编辑/etc/grub.d/00_header文件，在文件末尾添加以下内容：
cat << EOF set superusers="root" password_pbkdf2 root grub.pbkdf2.sha512.10000.这里替换为你的长字符串 EOF
保存文件后，你需要重新生成GRUB的主配置文件。对于传统的BIOS系统，使用命令：grub2-mkconfig -o /boot/grub2/grub.cfg。对于UEFI系统，配置文件路径通常为/boot/efi/EFI/centos/grub.cfg，请根据实际情况调整。这个方法允许你定义多个超级用户，并对特定菜单项使用“--unrestricted”参数使其无需密码，灵活性更高。
验证密码是否生效及常见问题排查
完成设置后，务必重启服务器进行验证。在GRUB菜单出现时，尝试按下‘e’键。如果配置成功，你会立即看到一个要求输入用户名和密码的对话框。输入正确的凭证后，才能进入编辑模式。如果失败，请检查以下几点：首先，确认你修改的是正确的GRUB配置文件。使用grub2-editenv list可以查看当前GRUB环境。其次，检查/boot/grub2/user.cfg文件是否存在且内容正确。第三，确保重新生成了grub.cfg文件，且没有语法错误。最后，注意在UEFI系统中，有时需要确保/boot/efi分区有足够空间，并且grub.cfg文件路径正确。
设置密码后的服务器管理与维护考量
为GRUB设置密码极大地提升了安全性，但也增加了管理复杂度。你必须牢记这个密码，并将其存储在极其安全的地方（例如企业密码管理器）。如果遗忘密码，将无法在服务器出现启动问题时进行紧急修复，可能需要使用Live CD等复杂手段重置。建议将密码设置为符合企业密码策略的高强度密码，并定期更换。同时，这个措施应作为深度防御策略的一环，结合BIOS/UEFI密码、全盘加密、强化的SSH密钥认证、以及及时的系统更新，共同构建服务器安全体系。
超越密码：GRUB安全的补充策略
除了设置密码，你还可以通过其他方式加固GRUB和启动过程。第一，设置BIOS或UEFI固件密码，防止他人更改启动顺序从其他设备启动。第二，如果服务器硬件支持，启用TPM（可信平台模块）并与安全启动配合，确保系统加载的组件未被篡改。第三，考虑对/boot分区进行加密，但这通常会使启动过程更复杂。第四，通过物理安全措施限制对服务器的直接接触。这些措施与GRUB密码层层叠加，能有效抵御从硬件层到系统层的入侵企图。记住，安全没有银弹，GRUB密码是保护你那扇“最底层后门”的一把坚实铁锁。
