macOS环境非root用户运行Launchd服务故障求助

问题根因定位 #

你遇到的报错是由3个常见的launchd配置错误共同导致的，对应修复步骤如下： #

1. 修复plist存放路径 #

macOS对launchd配置文件的存放目录有严格的权限规则：

• /Library/LaunchDaemons：系统级守护进程目录，仅root可加载，服务无需用户登录即可运行
• ~/Library/LaunchAgents：用户级代理进程目录，普通用户仅可加载该目录下的配置，服务需用户登录后运行
  你当前将plist放在~/Library/LaunchDaemons路径下，普通用户无该目录的加载权限，首先执行命令迁移文件：

mv ~/Library/LaunchDaemons/siem.plist ~/Library/LaunchAgents/

2. 修复plist内容缺陷 #

launchd运行时的环境变量PATH非常精简，直接写java会出现命令找不到的问题，需要替换为java的绝对路径：

1. 先执行命令获取java的绝对路径：

which java

2. 将返回的路径替换掉plist中ProgramArguments数组下的java字符串，示例：

<key>ProgramArguments</key>
<array>
  <string>/usr/bin/java</string> <!-- 替换为你实际的java路径 -->
  <string>-jar</string>
  <string>/Users/ec2-user/siem.jar</string>
</array>

3. 修复plist文件权限，launchd会拒绝加载权限过高的配置文件：

chown ec2-user:staff ~/Library/LaunchAgents/siem.plist
chmod 644 ~/Library/LaunchAgents/siem.plist

3. 执行正确的加载命令 #

场景A：需要用户登录后服务才运行（普通用户权限即可操作）

AWS EC2的mac实例如果是远程SSH登录无活跃GUI会话，不要用gui/501域，使用user/501域即可，操作前先清理之前加载失败的残留条目：

# 清理残留条目，报错可忽略
launchctl bootout gui/501/siem
launchctl bootout user/501/siem
# 加载服务
launchctl bootstrap user/501 ~/Library/LaunchAgents/siem.plist
# 验证服务状态
launchctl list | grep siem

场景B：需要系统启动后无需用户登录就运行服务（需要临时root权限操作）

如果要实现开机就以ec2-user身份运行服务，不需要用户登录，将plist文件移动到系统级目录并添加用户标识：

1. 移动plist到系统目录：

sudo mv ~/Library/LaunchAgents/siem.plist /Library/LaunchDaemons/

2. 在plist的dict节点中添加UserName配置：

<key>UserName</key>
<string>ec2-user</string>

3. 加载服务：

sudo launchctl bootstrap system /Library/LaunchDaemons/siem.plist

通用排查方法 #

如果还有报错，执行以下命令查看launchd的详细日志，可定位具体错误原因：

log show --predicate 'process == "launchd" and eventMessage contains "siem"' --last 10m

同时检查你配置的/tmp/mycommand.err和/tmp/mycommand.out日志，查看Java服务本身的启动错误。 #

内容的提问来源于stack exchange，提问作者SRJ