Hermes Agent密码重置需分五步：重置云主机系统密码、用sudo修改用户密码、更新WebUI/API令牌、终止所有活跃会话、启用SSH密钥登录并禁用密码认证。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用Hermes Agent过程中遗忘管理员凭证或怀疑账户已被异常访问，则需立即执行密码重置操作以恢复账户控制权并阻断未授权会话。以下是针对不同部署场景的多种重置路径：
一、通过优刻得云控制台重置主机系统用户密码
该方法适用于Hermes Agent以专用非特权用户（如hermes）部署在优刻得ULHost实例上，且您仍保有云平台管理员权限的情形。重置将直接影响Agent运行账户的SSH及本地登录能力。
1、登录优刻得控制台，进入「轻量应用云主机ULHost」服务页面
2、在实例列表中定位并选中承载Hermes Agent的目标主机
3、点击右侧操作栏中的「更多」→「重置密码」
4、输入新密码并确认，系统将强制重启实例以使密码生效
5、重启完成后，使用新密码通过SSH连接，并验证sudo -u hermes whoami输出是否为hermes
二、通过SSH密钥+sudo权限重置Agent专属用户密码
当已配置SSH密钥登录且当前用户具备sudo权限时，可绕过图形界面直接修改系统级用户密码，无需重启主机，适用于生产环境快速响应。
1、使用已授权密钥登录目标主机
2、执行sudo passwd hermes（假设Agent运行用户为hermes）
3、按提示两次输入新密码，确保符合强度要求：至少8位，含大小写字母、数字及特殊字符
4、运行sudo systemctl restart hermes-agent以刷新进程凭据上下文
5、检查sudo -u hermes id确认UID/GID未变更，避免权限继承异常
三、重置Hermes Agent内置WebUI或API认证令牌
若Hermes Agent启用了WebUI或REST API接口，并采用JWT或静态Token进行身份校验，则需单独更新其认证密钥，防止旧令牌持续有效。
1、进入Agent主目录，定位配置文件config.yaml或.env
2、查找auth_token、jwt_secret或api_key字段
3、使用openssl rand -hex 32生成新密钥，替换原值
4、保存后执行hermes-cli auth rotate --force触发令牌轮换
5、确认所有客户端已同步更新凭证，旧令牌将在5分钟内自动失效，不可恢复
四、清除残留会话与强制登出所有活跃连接
密码重置后，攻击者可能仍持有有效会话或长期令牌，必须主动终止全部现存连接，切断潜在持续访问通道。
1、执行sudo loginctl list-users查看当前登录用户列表
2、对每个非root的hermes相关会话，运行sudo loginctl terminate-user hermes
3、检查ps aux | grep -i "hermes.*token\|session"确认无残留认证进程
4、清空Redis或本地缓存中的会话存储：redis-cli FLUSHDB或rm -f /var/lib/hermes/sessions/*
5、验证hermes-cli status --verbose输出中active_sessions字段为0
五、重置后强制启用密钥对登录并禁用密码认证
为杜绝弱口令与暴力破解风险，密码重置完成后必须立即切换至更安全的身份验证机制，实现根治性防护。
1、在/home/hermes/.ssh/目录下生成新密钥对：ssh-keygen -t ed25519 -C "hermes-agent@prod" -f id_ed25519
2、将公钥内容追加至/home/hermes/.ssh/authorized_keys
3、编辑/etc/ssh/sshd_config，设置PasswordAuthentication no和PermitRootLogin no
4、执行sudo systemctl reload sshd使配置生效
5、测试新密钥登录：ssh -i ~/.ssh/id_ed25519 hermes@，成功后立即删除原密码登录能力
