macOS LaunchAgent で Thunderbolt NVMe を keepalive する方法（まとめ）

anonymous@undisclosed.example.com (Anonymous) — Sun, 05 Jul 2026 16:10:01 +0000

macOS LaunchAgent で Thunderbolt NVMe を keepalive する方法（まとめ）

問題の概要

sudo pmset -a disksleep 0 を実行
/Volumes/Home/.keepalive を作成
- dd if=/dev/zero of=/Volumes/Home/.keepalive count=1 bs=4096
  - bsはDiskによる。HDDで古いデバイスなら512でも良い。
- /Volumes/Homeは外付けThnuderbolt SSD

~/bin/keepnvmeawake.sh は以下の通り

#!/bin/bash
#dd if=/Volumes/Home/.keepalive of=/dev/null bs=4k count=1 2>/dev/null
/usr/bin/head -c 1 /Volumes/Home/.keepalive >/dev/null 2>&1 || true
exit 0

この条件下でThunderbolt NVMe 上に置いた keepalive スクリプトを LaunchAgent で定期実行しようとしたところ、

手動実行では常に成功（exit 0）
LaunchAgent から実行すると exit 126（EX_NOPERM）
スクリプトは存在し、実行権限もあり、NVMe は unmount されていない
Gatekeeper の quarantine も削除済み
署名を付けても、削除しても改善しない

という状況が発生した。

原因

LaunchAgent（launchd）は「実行ファイルの実体がどこにあるか」を安全性判定に使う。

内蔵 SSD → 安全な実行元
外付け NVMe / USB / Thunderbolt → 安全ではない実行元
symlink → リンク先の実体の場所で判定する

つまり：

~/bin/keepnvmeawake.sh は ~/bin が symlink であるため、Sandboxに弾かれる
- script 実体は Thunderbolt NVMe 上
  - launchd の sandbox が「外付けディスク上の実行ファイル」と判定
  - bash がスクリプトを開く段階で exit 126 を返す

ここで重要なのは

NVMe のデータファイル (.keepalive) は常に読める
NVMe 上の「実行ファイル」だけが launchd に拒否される

という点。

解決策の原理

launchd がチェックするのは「実行ファイルの場所」だけであり、スクリプト内部で外付け NVMe を読むことは sandbox の対象外。

よって、

実行ファイルだけ内蔵 SSD に置く
NVMe にアクセスするのは「スクリプト内部の処理」だけにする

これが launchd の sandbox を完全に回避する唯一の方法。

最終的な解決策（最もシンプル）

スクリプトを使わず、LaunchAgent から直接 /usr/bin/head を呼ぶ。 /usr/bin/head は内蔵 SSD にあるため、launchd が安全と判断する。

com.keepnvmeawake.plist（最終版）

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"
"http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>Label</key>
    <string>com.keepnvmeawake</string>
 
    <key>ProgramArguments</key>
    <array>
        <string>/usr/bin/head</string>
        <string>-c</string>
        <string>1</string>
        <string>/Volumes/Home/.keepalive</string>
    </array>
 
    <key>StartInterval</key>
    <integer>60</integer>
 
    <key>RunAtLoad</key>
    <true/>
</dict>
</plist>

動作確認

launchctl

$ launchctl unload ~/Library/LaunchAgents/com.keepnvmeawake.plist
$ launchctl load ~/Library/LaunchAgents/com.keepnvmeawake.plist
$ launchctl list | grep keepnvmeawake

exit code = 1 になることがあるが、これは launchd が「即終了ジョブ」を失敗扱いにする仕様であり、Thunderbolt NVMe の keepalive には影響しない。

fs_usage

# sudo fs_usage -f filesystem | grep .keepalive

1分ごとに以下のような I/O が出ていれば完全に成功：

read /Volumes/Home/.keepalive

exit code が 1 になる理由

launchd は「ジョブの最低実行時間」を内部的に持っており、head のような即終了ジョブは「失敗扱い（exit 1）」になる。

これは正常挙動であり、keepalive の動作には影響しない。

最終結論

launchd は外付け NVMe 上の「実行ファイル」を拒否する
NVMe 上のデータファイルを読むことは拒否しない
よって、実行ファイルだけ内蔵 SSD に置く必要がある
最もシンプルな解決策は plist から直接 /usr/bin/head を呼ぶこと
fs_usage に I/O が出ていれば Thunderbolt NVMe keepalive は完全に成功

ussh（ssh-dss対応）構築手順（Apple Silicon M4）

anonymous@undisclosed.example.com (Anonymous) — Tue, 07 Jul 2026 14:15:01 +0000

ussh（ssh-dss対応）構築手順（Apple Silicon M4）

目的

macOS 標準 ssh の環境を汚染せず、古いネットワーク機器への接続に必要な ssh-dss を利用可能な独立バイナリ ussh を構築する。

今回構築するusshは以下を満たすものとする

設定ファイルは ~/.ussh/config
known_hosts は ~/.ussh/known_hosts
~/.ssh は一切使用しない
/etc/ssh/ssh_config も参照しない
static link（OpenSSL を make install しない）
Apple Silicon (arm64) 用
ussh は ~/bin/ussh に配置

OpenSSL 1.1.1wを利用する理由

OpenSSL 3.x / 4.x は DSA を完全に削除している
OpenSSH 9.x は DSA を OpenSSL に依存して実装している
そのため、OpenSSL 3.x / 4.x とリンクすると ssh-dss がビルド時に消滅する

結果、OpenSSL 1.1.1 系統しか選択肢がない。

ただし、OpenSSL 1.1.1は2023年9月11日にEoLを迎えているので、今後のUpdateはない。したがって、ssh-dssを利用するdeviceを早期に交換するか、telnetに頼るしかないことに注意。

必要ディレクトリの作成

$ mkdir -p ~/bin
$ mkdir -p ~/.ussh

OpenSSL（static）を取得・ビルド

OpenSSL 1.1.1w を取得

$ cd ~/Downloads
$ wget https://github.com/openssl/openssl/releases/download/OpenSSL_1_1_1w/openssl-1.1.1w.tar.gz
$ tar zxf openssl-1.1.1w.tar.gz
$ cd openssl-1.1.1w

OpenSSL build static link library（make install しない）

$ ./Configure darwin64-arm64-cc no-shared
$ make

生成物：

./libcrypto.a
./libssl.a
./include/openssl/*

OpenSSH Portable を取得

$ cd ~/Downloads
$ wget https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-9.7p1.tar.gz
$ tar zxf openssh-9.7p1.tar.gz
$ cd openssh-9.7p1

~/.ssh → ~/.ussh に置換するパッチ適用

OpenSSH は設定ファイルの検索パスをソースコードにハードコードしているため、以下のファイルを修正する。

pathnames.h の修正

$ vi pathnames.h

- #define SSHDIR                          ETCDIR "/ssh"
+ #define SSHDIR                          "~/ussh"

- #define _PATH_SSH_PROGRAM               "/usr/bin/ssh"
+ #define _PATH_SSH_PROGRAM               "/usr/bin/ussh"

- #define _PATH_SSH_USER_DIR ".ssh"
+ #define _PATH_SSH_USER_DIR ".ussh"

これにより

~/.ssh は一切参照しない
~/.ussh/config を自動で読む
~/.ussh/known_hosts を使用
/etc/ssh/ssh_config は無視

となる

OpenSSH を static link でビルド

$ cd ~/Downloads/openssh-9.7p1
 
export OPENSSL_SRC=$HOME/Downloads/openssl-1.1.1w
export CFLAGS="-I$OPENSSL_SRC/include"
export LDFLAGS="-L$OPENSSL_SRC -lcrypto -lssl"

configure（不要機能を削除）

./configure \
  --with-ssl-dir=$OPENSSL_SRC

ビルド

$ make ssh
$ cp ./ssh ~/bin/ussh

ussh の設定ファイル作成

$ vi ~/.ussh/config

この構成で満たされる要件

~/.ssh を一切使用しない
~/.ussh/config を自動で読む
~/.ussh/known_hosts を使用
/etc/ssh/ssh_config を参照しない
static link（OpenSSL を make install しない）
Apple Silicon 用
ssh-dss が利用可能
ussh は ~/bin/ussh に配置
System の ssh を汚染しない

ほほほのほ - tweet:2026

macOS LaunchAgent で Thunderbolt NVMe を keepalive する方法（まとめ）

macOS LaunchAgent で Thunderbolt NVMe を keepalive する方法（まとめ）

問題の概要

原因

解決策の原理

最終的な解決策（最もシンプル）

com.keepnvmeawake.plist（最終版）

動作確認

launchctl

fs_usage

exit code が 1 になる理由

最終結論

ussh（ssh-dss対応）構築手順（Apple Silicon M4）

ussh（ssh-dss対応）構築手順（Apple Silicon M4）

目的

OpenSSL 1.1.1wを利用する理由

必要ディレクトリの作成

OpenSSL（static）を取得・ビルド

OpenSSL 1.1.1w を取得

OpenSSL build static link library（make install しない）

OpenSSH Portable を取得

~/.ssh → ~/.ussh に置換するパッチ適用

pathnames.h の修正

OpenSSH を static link でビルド

configure（不要機能を削除）

ビルド

ussh の設定ファイル作成

この構成で満たされる要件