Есть шардирование пользователей по ID. Сервис принимает запрос на обновление пароля пользователя — что происходит дальше на уровне сервиса?

Сервис проверяет полномочия, определяет шард по стабильному user ID и обновляет пароль именно там. Пароль хранится как стойкий хеш с солью, а не открытым текстом.

Маршрутизация должна учитывать миграцию шардов, а изменение — проверку текущего пароля или валидного reset-токена. После записи применяются правила отзыва сессий. Не логируйте пароль; для конкурентных изменений используйте версию записи или другой согласованный контроль, не рассылая обновление всем шардам.