CentOS系统中，GRUB2引导加密与单用户模式保护是防止物理接触攻击的关键防线。未经授权者若能在服务器前重启系统，就可能通过GRUB2编辑内核参数进入单用户模式，从而获得root权限并操控整个系统。要解决这个问题，你必须对GRUB2菜单进行密码加密，并锁定单用户模式的访问。具体操作是修改"/etc/grub.d/00_header"文件或使用"grub2-setpassword"命令设置引导密码，同时在"/etc/default/grub"中配置内核参数来限制单用户模式的启动。
GRUB2引导加密的核心原理与风险
GRUB2是CentOS 7及更高版本的默认引导加载程序，它在系统启动的最初阶段运行。默认配置下，在GRUB菜单界面按"e"键可以编辑启动条目，攻击者能够轻易删除"rhgb quiet"参数并添加"init=/bin/bash"或"single"参数，从而直接进入无需密码的root shell。这种物理访问漏洞使得服务器机房、托管环境或任何能接触到硬件的人员构成重大威胁。加密GRUB2的本质是在其配置中嵌入经过哈希处理的密码，在尝试编辑菜单或进入命令行时必须先验证密码，从而将物理安全漏洞彻底封堵。
方法一：使用grub2-setpassword快速加密（推荐）
CentOS 8/RHEL 8及其后续版本提供了最简化的工具。以root身份执行一条命令即可完成加密："grub2-setpassword"。执行后，系统会提示你输入并确认超级用户密码。此密码将被哈希处理并写入"/boot/grub2/user.cfg"文件。完成后，务必重新生成GRUB2配置文件："grub2-mkconfig -o /boot/grub2/grub.cfg"。重启系统后，在GRUB菜单界面尝试编辑条目时，就会弹出要求输入用户名和密码的对话框。用户名固定为"root"，密码则是你刚才设置的。
# 执行加密命令 grub2-setpassword Enter password: Confirm password: # 重新生成配置 grub2-mkconfig -o /boot/grub2/grub.cfg
方法二：手动编辑配置文件实现精细控制
对于需要更精细控制（如设置不同用户权限）或使用CentOS 7等旧版本的系统，可以采用手动编辑方式。首先，使用"grub2-mkpasswd-pbkdf2"命令生成密码的PBKDF2哈希值。
grub2-mkpasswd-pbkdf2 Enter password: Reenter password: PBKDF2 hash of your password is grub.pbkdf2.sha512.10000.长串哈希值
接着，编辑自定义配置文件"/etc/grub.d/40_custom"，在文件末尾添加以下内容，将"长串哈希值"替换为刚才生成的完整字符串。
set superusers="root" password_pbkdf2 root grub.pbkdf2.sha512.10000.长串哈希值
然后，修改"/etc/grub.d/10_linux"文件，在所有"menuentry"块的开头附近添加"--users ''"参数以锁定所有菜单项，或使用"--users username"为特定用户授权。最后，执行"grub2-mkconfig -o /boot/efi/EFI/centos/grub.cfg"（UEFI系统）或"grub2-mkconfig -o /boot/grub2/grub.cfg"（BIOS系统）应用更改。
彻底禁用单用户模式与救援模式
仅加密GRUB2可能不够，因为某些特殊的内核参数仍可能绕过。必须从内核启动参数层面禁用单用户和救援模式。编辑"/etc/default/grub"文件，找到"GRUB_CMDLINE_LINUX"行，在其参数中添加"systemd.unit=multi-user.target"。这可以强制系统始终启动到完整的多用户模式，阻止通过内核参数切换至单用户模式。
GRUB_CMDLINE_LINUX="crashkernel=auto resume=/dev/mapper/cl-swap rd.lvm.lv=cl/root rd.lvm.lv=cl/swap systemd.unit=multi-user.target"
修改后，同样需要重新生成GRUB配置。为了双重保险，还可以通过systemd直接禁用救援模式的服务单元："systemctl disable rescue.service" 和 "systemctl disable emergency.service"。
强化物理安全的补充措施
引导加密是最后一道软件防线，必须与硬件安全策略结合。首先，为服务器BIOS或UEFI固件设置强密码，并禁用从USB、光驱等外部设备启动，防止攻击者用Live CD绕过你的硬盘系统。其次，如果服务器支持，启用TPM（可信平台模块）并与全盘加密（如LUKS）结合，确保即使硬盘被拆除数据也无法读取。最后，在机房部署严格的物理访问控制、视频监控和机柜锁，建立完整的访问日志审计制度。
加密后的管理维护与故障恢复
设置GRUB2密码后，务必妥善保管密码。建议使用企业密码管理器存储，并确保至少两名可信管理员知晓。在进行系统内核升级或故障修复时，你可能需要编辑GRUB菜单。如果忘记密码，唯一的恢复方法是通过CentOS安装光盘或救援模式挂载原系统根分区，然后删除"/boot/grub2/user.cfg"文件或清除"/etc/grub.d/40_custom"中的密码配置，再重建GRUB配置。这个过程本身就验证了物理访问权限，因此定期检查并更新密码是必要的工作流程。
安全策略的评估与持续监控
实施上述措施后，应定期进行安全审计。使用"grub2-editenv list"命令检查GRUB环境变量。通过脚本定期检查"/boot/grub2/grub.cfg"和"/etc/default/grub"文件的完整性（例如比对哈希值），防止被恶意篡改。同时，将GRUB配置管理纳入整体的服务器基线安全配置，利用Ansible、Puppet等自动化工具批量部署和验证设置。记住，系统安全是一个动态过程，你需要关注CentOS社区的安全公告，及时应对新的引导层漏洞。
总之，在CentOS安全体系中，GRUB2引导加密与单用户模式保护绝非可选项，而是防御物理攻击的核心配置。通过设置强密码、禁用特权启动模式并辅以硬件安全策略，你可以构建起从固件到操作系统的完整启动链信任，确保即便在物理接触场景下，服务器的控制权也不会轻易旁落。
