Push-Nachrichten von MacTechNews.de
Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?
Forum>Software>Geduldsprobe mit SIP (System Integrity Protection)

Geduldsprobe mit SIP (System Integrity Protection)

Au
Au21.04.2316:08
Hallo,

mein (Foren-)Name ist „Au“ und ich bin neu hier, vermutlich jedoch ein recht erfahrener Anwender (seit NEXTSTEP 2.0).

Eventuell kann mir hier jemand mit einem „Geist in der Maschine“ behilflich sein.

Vor einigen Monaten ist mir mit meinem iMac 27" (Intel Core i7 mit 4,2 GHz, 2017) unter macOS Monterey 12.6 ein merkwürdiges Phänomen begegnet. Aufgrund etlicher Probleme mit einer neuen SSD (Samsung 980 PRO 2 TB NVMe SSD, mehrfach ausgetauscht), die in keinem meiner vier Thunderbolt-3-Gehäuse reibungslos funktionieren wollte, habe ich kurzerhand macOS neu installiert und meine Daten per Migrationsassistent importiert, was die Samsung-Probleme (sehr langsame Lese-/Schreibgeschwindigkeit) zwar nicht beheben konnte, sodass ich letztlich auf ein anderes Produkt umsteigen musste (WD Blue SN570 2TB NVMe SSD – alles perfekt), insgesamt schien die Neuinstallation anschließend zu funktionieren.

Irgendwann fiel mir dann auf, dass wirklich jede Aktualisierung aus dem App Store missriet. Als ich der Sache dann auf den Grund ging, wurde klar, dass keine Anwendung im „Programme“-Verzeichnis („Applications“) mehr schreibbar war. Also nicht nur wie vorgesehen jene von Apple, sondern alle. Weil mir dies heftig missfiel, musste ich irgendwann SIP deaktivieren, um überhaupt einigermaßen weiterarbeiten zu können. Das hat mich auch nicht weiter gestört, bis ich einen weiteren Computer gekauft habe (Mac Studio 2022, M1 Max, 64GB SSD, jeweils aktuelle Ventura-Version, derzeit 13.3.1) und das oben beschriebene Prozedere zum exakt gleichen Ergebnis führte.

Meine darauffolgenden Versuchsreihen führten zu weiteren Merkwürdigkeiten. So konnte ich das Anwendungsverzeichnis der SSD zwar problemlos an meinem iMac verändern, nicht jedoch, falls ich von besagter SSD startete (SIP aktiv). Auch konnte ich sämtliche Anwendungen in einem Unterverzeichnis von „Programme“ unterbringen und hatte dort keine Probleme. Sobald ich diese jedoch wieder ins Verzeichnis „Programme“ verschob, wiederholte sich das Phänomen. Was ich schließlich tat, war recht radikal. Ich entschied mich kurzerhand alle Programme erneut zu installieren, die von mir im Verzeichnis „Programme“ installiert worden waren. Das klappte auch, ging dann jedoch bei sämtlichen Anwendungen von Adobe CC schief (neueste Versionen, offizieller Installer). Das ging wiederum nur nach Deaktivierung von SIP.

Ich gehe nicht davon aus, dass dies etwas mit Thunderbolt-3-Kabeln (nicht USB!) oder Thunderbolt-3-Gehäusen zu tun hat, da ich wirklich vier völlig unterschiedliche Modell verwende:

- HP P800 (aus dem Jahre 2017, dazu finde ich online bei HP nur noch ein PDF: )

- ACASIS TBU405 ()

- Wanfocyu Thunderbolt-3-Gehäuse ()

- Sowie das langsamere „OWC Envoy Express“, das ich vor allem zum Datentransport für unterwegs verwende ()

Natürlich habe ich die eingesetzten NVMe-SSDs (derzeit zwei WD Blue, eines von HP und eines von Pioneer) etliche Male erneut mit dem Festplatten-Dienstprogramm formatiert (APFS), ein neues macOS darauf installiert und immer wieder den Migrationsassistenten bemüht, um dann wiederum beim gleichen Ergebnis zu landen. Zwischenzeitlich lebe ich auf allen Systemen ohne SIP, kann auf dem Mac Studio aber aufgrund deren Verschlüsselung dann leider keine iOS/iPadOS-Apps verwenden, was natürlich traurig ist.

Sollte ich in meiner Beschreibung etwas vergessen haben, so wäre dies keine Absicht. Rückfragen beantworte ich gerne, da ich hier meist mehrfach am Tag vorbeischaue.

Und um die mögliche Frage gleich vorweg zu beantworten, weshalb ich das interne SSD nicht verwende, so liegt das an den oftmals hohen Datenmengen (4K-Video) und der Tatsache, dass ich schon etliche SSDs damit vernichtet habe. Ich ziehe es daher vor, nur externe Thunderbolt-3-SSDs zu verwenden und bestelle jeweils nur die SSD-Minimalausstattung bei Apple. Der Geschwindigkeitsverlust ist in meinem Fall zumindest sehr gering.

Vielen herzlichen Dank fürs Lesen!
+3

Kommentare

Marcel Bresink21.04.2316:21
Der Programme-Ordner ist in Wirklichkeit eine Überblendung der beiden Ordner /System/Applications und /System/Volumes/Data/Applications, die auf verschiedenen Volumes der System-Volume-Gruppe liegen.

Ist für den Ordner /Volumes/Data/Applications irrtümlich das Attribut "restricted" oder das Erweiterte Attribut "com.apple.rootless" gesetzt worden? Ein
ls -ldo@ /System/Volumes/Data/Applications
sollte das klären.
+3
Marcel_75@work
Marcel_75@work21.04.2316:21
Wäre es dann nicht vllt. trotzdem eine sinnvolle Option für dich, sämtliche User doch (wie von Apple scheinbar vorgesehen) doch ganz normal auf der internen SSD anzulegen?

Das $HOME kann ja dann trotzdem "fast nackt" bleiben, denn es spricht ja nichts dagegen, den Adobe Apps (und normalerweise auch allen anderen Programmen) 'beizubringen', dass z.B. deine 4k-Videodaten auf der externen SSD liegen?
+3
Au
Au21.04.2317:50
Marcel Bresink
Der Programme-Ordner ist in Wirklichkeit eine Überblendung der beiden Ordner /System/Applications und /System/Volumes/Data/Applications, die auf verschiedenen Volumes der System-Volume-Gruppe liegen.
Interessant.
Ist für den Ordner /Volumes/Data/Applications irrtümlich das Attribut "restricted" oder das Erweiterte Attribut "com.apple.rootless" gesetzt worden?
Das sieht bei mir so aus:
drwxrwxr-x  397 root  12704 20 Apr 16:23 /System/Volumes/Data/Applications
Korrekt, oder?
0
marm21.04.2318:00
Ich habe auf der internen SSD nur die Library, Programme und wenige Nutzerdaten. Die Musik- und Fotobibliotheken sowie ein großer Teil der Mails sind auf der externen SSD, selbst im Programmverzeichnis zeigen nun eine paar Symlinks auf extern gelagerte Programme wie iMovie & Co. Das ist mit weniger Aufwand und Komplikationen verbunden, als gleich das ganze Benutzerverzeichnis auszulagern.
0
Au
Au21.04.2318:04
Marcel_75@work
Wäre es dann nicht vllt. trotzdem eine sinnvolle Option für dich, sämtliche User doch (wie von Apple scheinbar vorgesehen) doch ganz normal auf der internen SSD anzulegen
Die reinen Heimverzeichnisse? Das habe ich bislang noch nicht versucht. Wie handhabe ich es denn konkret, dass dann beispielsweise der Anwendungsordner auf einer externen SSD liegt? Natürlich bin ich offen für Veränderungen, sofern ich sie ohne gewaltigen Zeitverlust umsetzen kann.
Das $HOME kann ja dann trotzdem "fast nackt" bleiben, denn es spricht ja nichts dagegen, den Adobe Apps (und normalerweise auch allen anderen Programmen) 'beizubringen', dass z.B. deine 4k-Videodaten auf der externen SSD liegen?
Ja, natürlich, da sehe ich kein Hindernis. Rätselhaft bleibt unverändert für mich, weshalb ein derartiges Verhalten überhaupt auftritt. Zumindest in meinem Fall waren externe SSDs bislang wahnsinnig praktisch. Und wenn ich die offenkundig nicht fest verlöteten internen SSDs des Mac Studio leicht ersetzen könnte, sähe ich eh kein Problem, externe SSD nur fürs Datenschaufeln zu verwenden.
0
Marcel Bresink21.04.2318:16
Au
Das sieht bei mir so aus:
drwxrwxr-x  397 root  12704 20 Apr 16:23 /System/Volumes/Data/Applications
Korrekt, oder?

Ja, das ist richtig. Gibt es vielleicht im Ordner (also Option "d" weglassen) derartige Attribute? Normal wäre das nur für "Safari.app".
+2
Au
Au21.04.2318:31
marm
Ich habe auf der internen SSD nur die Library, Programme und wenige Nutzerdaten. Die Musik- und Fotobibliotheken sowie ein großer Teil der Mails sind auf der externen SSD, selbst im Programmverzeichnis zeigen nun eine paar Symlinks auf extern gelagerte Programme wie iMovie & Co. Das ist mit weniger Aufwand und Komplikationen verbunden, als gleich das ganze Benutzerverzeichnis auszulagern.
Sämtliche großen Daten sind auch bei mir ausgelagert (ein Synology-NAS mit 18 HDDs), so ich sie eben nicht mehr fortwährend bearbeiten muss.

Auch Musik und Fotos sind auf dem NAS, auf welches ich per NFS zugreife. Das geht sogar mit Apples Musik.app. Für Fotos verwende ich Synology-Software.

Dass ich mit externen Thunderbolt-3-SSDs Probleme bekäme, hat mich dann aber doch überrascht, da ich bislang davon ausging, dies wäre eine der vorgesehenen Optionen. Das müffelt irgendwie nach einem Bug oder einer höchstmysteriösen Verkettung irgendwelcher Seltsamkeiten.

Den Anwendungsordner könnte ich leider nicht mit dem System und den Anwenderverzeichnissen auf der internen SSD unterbringen, da er dafür zu groß ist (75,91 GB auf dem Volume). Mit symbolischen Verknüpfungen arbeiten zu müssen, wäre vielleicht eine Option, wenn auch nicht unbedingt die eleganteste. Die Adobe-CC-Anwendungen müsste ich folglich immer noch auf der internen SSD ablegen, so das Phänomen damit de facto verschwände. Doof das alles.
0
MrChad21.04.2318:37
Ist es nicht so, dass der restricted Flag nur mit -O(Grossbuchstabe) angezeigt wird ?!
Und der Vollständigkeit halber: Der Application-Ordner ist der Gruppe admin zugewiesen, anders als die meisten anderen Ordner auf diesem Level.
/ $ ls -dlAO@ *    
drwxrwxr-x  48 root  admin  sunlnk            1536 21 Apr 12:12 Applications
drwxr-xr-x  71 root  wheel  sunlnk            2272  8 Apr 18:03 Library
drwxr-xr-x@ 10 root  wheel  restricted         320  1 Apr 18:46 System
    com.apple.rootless       0 
...
+1
Au
Au21.04.2318:38
Marcel Bresink
Ja, das ist richtig. Gibt es vielleicht im Ordner (also Option "d" weglassen) derartige Attribute? Normal wäre das nur für "Safari.app".
Nein, nur Safari enthält das Attribut com.apple.rootless. Was ich noch erwähnen sollte, ist die Tatsache, dass ich bei aktivierter SIP ins Verzeichnis Dienstprogramme (Utilities) sowie auch alle anderen Unterverzeichnisse von Programme (Applications) wie erwartet schreiben kann (in Dienstprogramme natürlich nur nach entsprechender Autorisierung). Auch das erscheint mir seltsam.
0
Au
Au21.04.2318:43
MrChad
Ist es nicht so, dass der restricted Flag nur mit -O(Grossbuchstabe) angezeigt wird ?!
Nun, das wäre in meinem Fall dann dieses hier:
drwxrwxr-x  397 root  admin  restricted,sunlnk 12704 20 Apr 16:23 /System/Volumes/Data/Applications
Und in der Tat steht da restricted.
+1
MrChad21.04.2318:53
Au
Und in der Tat steht da restricted.
Was mir nicht deutlich ist:
Hast du den Applications-Ordner (per Finder drag-drop) auf ein externes Volume gezogen?

Das könnte die Ursache sein (s.o.). Dabei wären dann die im System verankerten Programme und der Flag mitgekommen.
Marcel Bresink
Der Programme-Ordner ist in Wirklichkeit eine Überblendung der beiden Ordner /System/Applications und /System/Volumes/Data/Applications, die auf verschiedenen Volumes der System-Volume-Gruppe liegen.
0
Marcel Bresink21.04.2318:56
MrChad
Ist es nicht so, dass der restricted Flag nur mit -O(Grossbuchstabe) angezeigt wird ?!

Ja, natürlich. Sorry, da war oben ein ärgerlicher Tippfehler.
Au
Und in der Tat steht da restricted.

Das hatte ich ursprünglich auch vermutet. Dann haben wir ja trotzdem noch den Grund für das Verhalten gefunden, wenn auch nicht den Auslöser.

Der nächste Schritt wäre, SIP vorübergehend abzuschalten und ein
sudo chflags norestricted /System/Volumes/Data/Applications
zu versuchen. Dann könnte das Problem gelöst sein.
+1
Au
Au21.04.2319:28
Leider scheint das Problem nicht (vollständig?) gelöst zu sein, denn sämtliche Anwendungen im Programme-Ordner sind immer noch nicht veränderbar, wie in Stein gemeißelt. Beispiel:
sudo rm -R /Applications/xyz.app
Ergebnis:
rm: /Applications/xyz.app: Operation not permitted
Obgleich …
ls -dlAO@ /System/Volumes/Data/Applications
… folgendes ergibt:
drwxrwxr-x  397 root  admin  sunlnk 12704 21 Apr 19:13
Ich sehe jedoch, dass nur der Anwendungsordner xyz.app nicht gelöscht werden kann, der Inhalt der Anwendung aber schon. Frage ich dann den entsprechenden Anwendungsordner wie folgt ab:
ls -dlAO@ /Applications/xyz.app
Dann erscheint:
au  admin  restricted 64 21 Apr 19:16 /Applications/xyz.app
Ließe sich das eventuell so lösen?
sudo chflags norestricted /System/Volumes/Data/Applications/*
0
Au
Au21.04.2320:38
Nachtrag: Habe das Problem durch Drag & Drop der entsprechenden Apps mit dem restricted-Flag aufs Terminal-Fenster nach dem Befehl
sudo chflags norestricted
gelöst und kann Euch allen für Eure Hilfe gar nicht genug danken!

Warum das Phänomen überhaupt auftrat, kann ich leider nicht mit Sicherheit sagen, habe aber die Vermutung, dass ich einst die Ausführung von Anwendungen auf einer geklonten SSD verhindern wollte, was aber schon eine ganze Weile her sein dürfte, da mir das zwischenzeitlich komplett entfallen ist.

Allen hier ein schönes Wochenende!
+1

Kommentieren

Diese Diskussion ist bereits mehr als 3 Monate alt und kann daher nicht mehr kommentiert werden.