syspolicyd

コードをチェックしています。大きなアプリを初めて開いたとき、ソフトウェアをインストールしたとき、実行ファイルがたくさん入ったアーカイブを展開したときは、チェックするものが増えます。開発者は、新しいバイナリをたくさんビルドして実行するときに、より多くの動作を目にすることがあります。

たいていは何もしなくてかまいません。インストールや初回起動が終わるのを待てば、動作は止まるはずです。syspolicydや、それが行うセキュリティチェックを無効にしようとしないでください。何もしていないのに長時間忙しいままなら、Macを再起動します。

syspolicydが支えているAppleの機能は、アプリの署名と、ダウンロードしたソフトウェアの場合は公証済みかどうかをチェックします。つまり、その動作はMacに新しいコードが入ってくるタイミングに連動しています。

ダウンロードしたファイルには検疫フラグが付き、初めて開くときにチェックするようmacOSに伝えます。一度チェックされて許可されたアプリは、2回目以降の起動で同じ初回の審査を必要としないので、動作は新しいソフトウェアの周辺に集中します。

• インターネットからダウンロードしたアプリを初めて開いたとき。
• アプリのインストールやアップデート。多くのコンポーネントを同梱した大きなアプリも含みます。
• アプリやコマンドラインツールを含むアーカイブやディスクイメージの展開。
• ビルドやパッケージのインストールなど、新しい実行ファイルを大量に作って実行する開発作業。

読み取り専用の2つのコマンドで、何も変更せずにシステムポリシーの判断を確認できます。アプリを開く前に、署名と公証が済んでいるかどうかを知りたいときに便利です。

1. spctl --statusを実行します。Gatekeeperのチェックがオンならassessments enabledと表示されます。これが通常の状態です。
2. アプリのパスを付けてspctl --assess -vv /Applications/AppName.appを実行します。出力には、そのアプリがacceptedかどうかと、その理由を示すNotarized Developer IDやApple Systemのようなsource=の行が表示されます。
3. ダウンロードしたファイルにまだ検疫フラグが付いているかを確認するには、xattr -l ~/Downloads/FileNameを実行します。com.apple.quarantineの項目があれば、初めて開くときにmacOSがチェックします。

CPUを節約するために、Gatekeeperをオフにしたり、システム整合性保護を無効にしたり、syspolicydを終了したりしないでください。こうした変更は信頼できないソフトウェアの実行を防ぐチェックを取り除いてしまいますし、どのみちsyspolicydは止まったままにはなりません。

初回起動時のチェックを省くために、xattrでダウンロードから検疫フラグを取り除くのもやめましょう。インターネットから入手したソフトウェアを実行前にmacOSが確認するのは、このフラグがあるからです。取り除けばそのチェックを迂回することになり、しかも普段の使用でMacが速くなるわけではありません。

信頼しているアプリをmacOSがブロックした場合は、サポートされている方法で開きます。一度開こうとしたあと、アップルメニュー > システム設定 > プライバシーとセキュリティに移動して下にスクロールし、“このまま開く”をクリックします。アプリは例外として保存され、それ以降は普通に開けます。

普通: ソフトウェアを開く、インストールする、展開するときに短時間CPUを使い、作業が終われば止まる。開発者の場合は、ツールやアプリの新しいビルドがどれもチェックの必要な新しいコードなので、目にする機会が多くなります。

確認する価値あり: 何もインストールしたり開いたりしていないのに、syspolicydが長時間忙しいまま。アプリのアップデータなど、バックグラウンドで何かがインストールされていないか確認し、終わるまで待ちます。何も起きていないのに動作が続くなら、Macを再起動します。