需通过root权限用faillog命令或kysec工具解锁被PAM策略锁定的账户，或临时修改sudoers绕过限制；faillog -r -u 用户名可重置计数，kysec支持单用户或全量清除，sudoers修改仅作应急。
如果您在银河麒麟操作系统中因连续输错密码导致账户被PAM策略锁定，无法登录或执行sudo命令，需通过root权限手动解除锁定状态，而非重置密码。
用faillog命令解锁被锁用户
该方法直接操作PAM失败日志数据库，适用于已拥有root权限且账户尚未过期的场景。
打开终端，切换至root用户：su -
输入当前root密码（若未设置，请先由其他管理员执行sudo passwd root）
执行解锁命令：faillog -r -u 【用户名】
其中“用户名”必须与/etc/passwd中实际注册的登录名完全一致，区分大小写；若填错将提示User unknown，且不会报错，容易误以为已成功
验证是否解锁：faillog -u 【用户名】 → 输出中Failure count应为0，Latest failure字段为空
用kysec工具一键修复锁定状态
此方式调用麒麟官方加固工具，自动检测并清除faillock计数器，适合批量处理或不确定具体锁定机制时使用。
方法一：直接修复指定用户
终端中执行：kysec fix account-lock --unlock-user 【用户名】
方法二：清空全部用户失败记录
执行：kysec fix account-lock --clear-all-failures
注意：该操作不可逆，会同时清除所有用户的失败登录计数，包括尚未触发锁定的账户
通过PAM模块参数临时绕过锁定
当急需恢复某用户访问但暂无root密码，且该用户仍保有sudo权限时，可临时修改认证流程跳过失败检查。
第一步：以该用户身份登录图形界面或SSH（若未完全锁定）
第二步：执行sudo visudo编辑sudoers文件
第三步：在文件末尾新增一行：Defaults env_reset,timestamp_timeout=0,passwd_tries=1
第四步：保存退出后，立即执行sudo -k && sudo whoami测试——若返回root，说明当前会话已绕过PAM faillock限制
第五步：运行sudo faillog -r -u 【用户名】完成最终解锁
