Mac系统中LaunchDaemon无法与Time Machine交互问题排查

我编写了一个Mac自动化脚本，用于夜间控制Time Machine执行备份。脚本在终端运行时能正常和Time Machine交互，但通过LaunchDaemon运行时，Time Machine相关命令完全没效果。.plist文件为root所有，权限设为600（符合Apple文档推荐），automation.sh文件同样为root所有，权限设为777。

.plist内容：

<?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"
            "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
    <plist version="1.0">
        <dict>
            <key>Label</key>
            <string>local.automation</string>
            <key>ProgramArguments</key>
            <array>
                <string>/bin/bash</string>
                <string>/Users/<username>/<project>/automation.sh</string>
            </array>
            <key>RunAtLoad</key>
            <true/>
            <key>LaunchOnlyOnce</key>
            <true/>
        </dict>
    </plist>

automation.sh内容：

#!/bin/bash

    PASS=$(security find-generic-password -l 'root password' -a dl -w | tr -d '\n')
    echo "$PASS" | sudo -S tmutil disable

1. 冗余的sudo调用 #

LaunchDaemon默认以root权限运行，脚本里的sudo -S完全多余——root身份执行命令不需要再提权，反而会因为环境缺失导致命令执行失败。直接去掉sudo相关部分，改用tmutil disable即可。

2. 钥匙串访问权限问题 #

security find-generic-password默认访问当前用户的钥匙串，但LaunchDaemon运行在系统上下文（root身份），和你终端登录的用户钥匙串不是同一个。root用户的钥匙串里没有你存储的"root password"条目，所以脚本无法获取密码，后续命令自然失效。

3. 脚本权限设置不合理 #

automation.sh设为777权限过于宽松，存在安全风险，建议改为755（root拥有读写执行权限，其他用户只读执行）。

修正后的脚本示例 #

#!/bin/bash
# 直接以root身份执行tmutil命令，无需提权
tmutil disable

额外建议与排查 #

• 如果后续需要执行依赖用户上下文的操作（比如与用户钥匙串交互、访问用户目录），建议改用LaunchAgent（以用户身份运行）而非LaunchDaemon。
• 查看LaunchDaemon执行日志，定位具体错误：

  log show --predicate 'process == "launchd" AND message CONTAINS "local.automation"' --info
  

• 手动模拟root环境测试脚本：

  sudo /Users/<username>/<project>/automation.sh
  

内容的提问来源于stack exchange，提问作者DLaq