פרק 12: עדכונים, שדרוגים והגירות (Updates & Migration) – מדריך למדריך (Facilitator Guide)¶
הנחיה למדריך: מסמך זה משמש כטיוטת השיעור והתסריט שלך. כל נושא מחולק למטרת למידה (Objective), תסריט שיחה לכיתה (Discussion), הדרכה להדגמה מעשית (Demonstration), ומידע טכני מורחב למענה על שאלות קשות (Instructor Deep-Dive).
1. טרמינולוגיה ואסטרטגיה: עדכון (Update) מול שדרוג (Upgrade)¶
Objective: הבנת ההבדלים המדויקים במונחי אפל בין Update, Upgrade, Reinstall ו-Install.
Discussion - Script: "בואו נדבר רגע על מונחים. לאפל יש טרמינולוגיה מאוד ספציפית ומדויקת כשזה נוגע למערכת ההפעלה, ואלו אותם מונחים שאתם תראו במערכות ה-MDM שלכם או במסמכי ה-Apple Platform Deployment. המונח הראשון הוא Update (עדכון). עדכון הוא קפיצה בתוך אותה גרסה מרכזית - למשל מעבר מ-macOS 15.1 ל-15.4. מערכת ההפעלה נשארת אותה מערכת, אבל אנחנו מקבלים תיקוני באגים ותכונות חדשות קטנות. המונח השני הוא Upgrade (שדרוג). כאן מדובר בקפיצה לגרסה מרכזית חדשה לגמרי, למשל מ-macOS 14 ל-macOS 15. זהו תהליך כבד יותר שכולל שינויים תשתיתיים במערכת. המונח השלישי הוא Reinstall (התקנה מחדש). המשמעות היא דריסת קבצי מערכת ההפעלה בלבד, מבלי לגעת במידע של המשתמש (User Data). זה מצוין לפתרון תקלות מבלי לאבד מידע. המונח הרביעי והאחרון הוא Install (התקנה נקייה). זה נדיר, וקורה רק כשמאתחלים מחשב לחלוטין (Wipe) אחרי מחיקת כל התוכן.
כשאנחנו מבצעים Upgrade או Reinstall, שמתם לב שהמערכת דורשת לפעמים 40 עד 50 גיגה בייט פנויים למרות שהמערכת עצמה קטנה יותר? למה זה קורה? כי מאחורי הקלעים ה-macOS מצלם Snapshot (תמונת מצב) של המערכת הנוכחית כדי שאם ההתקנה תיכשל באמצע מכל סיבה שהיא, המערכת תוכל לבצע Rollback ולחזור למצב הישן בשניות, מבלי לפגוע במידע שלכם."
Demonstration:
- פתח את
System Settings>General>Software Updateוהראה היכן מופיע עדכון גרסה מינורי (Update). - הראה את החלק התחתון של המסך (או באפליקציית ה-App Store) כיצד נראה שדרוג גרסה מלא (Upgrade) המוצג בנפרד כהורדה מרכזית.
Instructor Deep-Dive:
העמקת מדריך: המנגנון הנסתר של עדכוני macOS ו-Snapshots
עדכוני macOS מודרניים פועלים על Volume נפרד. במהלך שדרוג, המערכת מתקינה את מערכת ההפעלה החדשה תחת מעטפת וירטואלית, חותמת אותה קריפטוגרפית לכדי ה-Sealed System Volume (SSV) החדש, ורק לאחר מכן מבצעת אליו Boot ראשון. הסיבה האמיתית לנפח הנדרש היא שהמערכת יוצרת APFS Snapshot של מצב הקבצים לפני תחילת התהליך. אם מתרחשת תקלה באמצע (כמו נפילת מתח או שגיאת כתיבה), ה-Kernel מזהה שהחותמת הקריפטוגרפית שבורה, מבצע Revert ל-Snapshot של המערכת הקודמת, ועולה מחדש בצורה חלקה ללא פגיעה במידע. נקודה נוספת חשובה לציון: בארכיטקטורה הנוכחית לא ניתן לבצע Downgrade פשוט לגרסה קודמת אם הותקן שדרוג, אלא אם מוחקים את כל הדיסק או מבצעים רולבק למצב גיבוי מלא.2. מנגנון RSR: לעדכוני אבטחה מיידיים (Rapid Security Responses)¶
Objective: הבנת אופן הפעולה של מנגנון עדכוני האבטחה המהירים של אפל וכיצד הוא קשור ל-Cryptex.
Discussion - Script: "בטח שמעתם או ראיתם פעם עדכון שנגמר באות אנגלית בסוגריים, כמו למשל macOS 15.4.1 (a). זה נקרא RSR – Rapid Security Response. הרעיון שאפל הציגה הוא מעולה: במקום לחכות לעדכון מערכת הפעלה מלא ששוקל ג'יגות וידרוש הורדה ארוכה רק כדי לחסום פרצת אבטחה, אפל רצתה להיות מסוגלת לדחוף עדכוני אבטחה קריטיים, כמו פלסטר, 'מעכשיו לעכשיו'. חלקם תוכננו להתרחש אפילו בלי צורך בהפעלה מחדש (Restart). איך זה עובד? ישנה טכנולוגיה מתחת למכסה המנוע שנקראת Cryptex. במקום לפתוח את ה-Volume של המערכת (ה-SSV) שהוא נעול ומוגן קריפטוגרפית, אפל דוחפת מעין קפסולה קטנה ומוצפנת שמולבשת מעל מערכת ההפעלה בזמן הריצה ומחליפה קבצים פגיעים. אגב, דפדפן הספארי (Safari) משתמש בדיוק באותו מנגנון כדי להתעדכן באופן אסינכרוני מחוץ למערכת ההפעלה. למרות ההבטחות על היעדר ריסטארט, ברוב המקרים בהם אפל השתמשה ב-RSR בפועל, היא כן ביקשה מהמשתמשים לאתחל את המחשב, אבל התהליך היה כמעט מיידי בהשוואה לעדכון מסורתי."
Demonstration:
- נווט אל
System Settings>General>Software Update. - לחץ על סמל המידע (i) שליד Automatic Updates.
- הצג לכיתה את התיבה המסומנת:
Install Security Responses and system filesוהסבר על חשיבות השארתה מופעלת בארגונים לשמירה על אבטחה בזמן אמת.
Instructor Deep-Dive:
העמקת מדריך: ארכיטקטורת Cryptex ו-RSR
מונח ה-RSR נשען על קונספט ה-Cryptex (Cryptographically-sealed Extension). זהו מאגר קבצים נפרד היושב מחוץ ל-System Volume, ומורכב (Mount) לתוך היררכיית מערכת הקבצים בשלבי האתחול. היתרון הגדול הוא שהדבר מאפשר לאפל להזרים ולתקן ספריות ליבה (לדוגמה WebKit המשמש את Safari ואפליקציות רבות אחרות) מבלי לשבור את חתימת ה-SSV ולדרוש Seal מחדש (פעולה שכרוכה בזמן ומשאבי מחשוב כבדים). ככלל אצבע, אם המשתמש חווה תקלה ומסיר את ה-RSR מהמערכת (פעולה אפשרית דרך ה-System Settings), ה-macOS פשוט מנתקת (Unmount) את ה-Cryptex וחוזרת לגרסת הבסיס שצרובה ב-SSV המקורי.3. Migration Assistant: העברת פרופילים ו-Best Practices¶
Objective: היכרות עם כלי ה-Migration Assistant וההשלכות של הפעלתו (לעומת הימנעות) בסביבה ארגונית.
Discussion - Script: "בואו נדבר על המעבר ממחשב ישן לחדש. אפל יצרה כלי מצוין וידוע שנקרא Migration Assistant. ראינו אותו בזמן ההפעלה הראשונה כשהפעלנו את המק (OOBE). הכלי הזה יכול להתחבר למק אחר דרך רשת Wi-Fi (בחיבור Peer-to-Peer), כבל Thunderbolt או Ethernet, או אפילו לשאוב מידע מכונן גיבוי של Time Machine. הכלי סורק ובוחר להעביר את הגדרות המשתמש, האפליקציות וכל ה-Data. אבל, וזה אבל גדול בארגון, ה-Migration Assistant יכול להיות קצת 'מלכודת דבש'. למה? כי אם אני מעביר פרופיל ממק ישן שחי במשך חמש שנים למק חדש, אני לפעמים סוחב איתי גם את כל הצרות, באגים בתיקיות ה-Library, אפליקציות מיושנות שגורמות לקרשים, או קבצי הגדרות מתנגשים של פרופילי ה-MDM הקודמים. זה יוצר מצב שהמק החדש שלכם כבר מגיע 'מזוהם' ביום הראשון. ה-Best Practice שאנחנו ממליצים עליו בסביבות MDM וארגונים הוא לדלג על ה-Migration Assistant, להגדיר את המק החדש מאפס (Clean Slate) כפי שראינו, ולסנכרן רק את קבצי העבודה החשובים באמצעות פתרונות ענן ארגוניים כמו OneDrive או Google Drive."
Demonstration:
- פתח את Spotlight, חפש את
Migration Assistantוהרץ אותו. - קרא את חלון הפתיחה המסביר שהוא יסגור אפליקציות אחרות, לחץ Continue להזנת הסיסמה והראה את המסך הראשון (בחירה במקור המידע: From a Mac, Time Machine backup, or startup disk). צא מהכלי מבלי להמשיך.
Instructor Deep-Dive:
העמקת מדריך: התנגשות משתמשים ב-Migration וניהול MDM
קיימת טעות טכנית נפוצה מאוד בעת שימוש ב-Migration Assistant לאחר תום ה-Setup Assistant (כלומר, כשהמשתמש כבר עובד במערכת החדשה). הטכנאי יוצר במק החדש חשבון משתמש מקומי בשם "David", מתחבר אליו, ואז מריץ Migration Assistant במטרה למשוך את הפרופיל (שנקרא גם הוא "David") מהגיבוי. התוצאה היא התנגשות שמות (UID/ShortName conflict). המערכת תדרוש או להחליף את החשבון הקיים (מה שמוחק נתונים) או לשנות את שמו של החשבון המיובא, מה שמבלבל את המשתמשים. הדרך הנכונה לבצע Migration היא ישירות במסך ה-OOBE (לפני יצירת משתמש) או על ידי יצירת משתמש אדמין זמני נפרד לחלוטין (למשל "ITAdmin"), יבוא המידע לתוכו, ומחיקת ה-ITAdmin לאחר מכן. בנוגע למערכות MDM: העברת פרופילים ממחשב המנוהל תחת MDM אחד למחשב אחר עלולה להעביר גם תעודות קליינט ישנות של ה-MDM ולגרום למחשב החדש להפסיק לתקשר עם השרת (Token mismatch) ולפספס פקודות חשובות, ולכן מומלץ להימנע מכך ארגונית.4. תיבול ארגוני: כפיית עדכונים (Software Update Policies) ו-Deferrals¶
Objective: שליטה על גרסאות ועדכונים דרך פרופילי ניהול (MDM), כפייה לעומת דחייה (Deferrals).
Discussion - Script: "הגענו לתיבול הארגוני שלנו לפרק זה - וזה אולי אחד האתגרים הכי גדולים של מנהלי IT כיום: לנהל את קצב העדכונים של אפל. מחד, אנחנו רוצים שכל המקים בארגון יהיו מעודכנים בגרסת האבטחה האחרונה. מאידך, אנחנו לא רוצים לשבור תוכנות עסקיות קריטיות שעדיין לא הספיקו להתעדכן כדי לתמוך במערכת ההפעלה החדשה (כמו כלי אנטי-וירוס או אפליקציות הגנה ספציפיות). דרך מערכת ה-MDM שלנו, יש לנו כוח אדיר שנקרא Software Update Policies. הכלי הזה מאפשר לנו להגדיר Deferrals – השהיות. אנחנו יכולים להגיד למק: 'תסתיר מהמשתמש שדרוגים גדולים (Upgrades כמו מעבר ל-macOS 15) לתקופה של עד 90 יום, ותסתיר עדכונים קטנים (Updates מינוריים) ל-14 ימים'. כך מחלקת ה-IT מקבלת חלון זמן לבדוק הכל במעבדה לפני הפריסה בארגון. מעבר לכך, אפל הציגה מנגנון חכם בארגונים שנקרא Declarative Device Management (DDM). המערכת מאפשרת לנו להגדיר תאריך יעד קשיח, Deadline. ה-IT בעצם שולח מסר למק: 'למשתמש יש עד יום חמישי הבא בשעה 17:00 להתקין את העדכון בזמנו הפנוי. אם הוא לא עשה זאת, העדכון ייכפה באופן אוטומטי אגרסיבי והמחשב יבצע הפעלה מחדש בכוח'. זה שילוב מצוין שמשאיר גמישות לעובד, אך עם שורת סיכום שמוודאת שהארגון תמיד יישאר מעודכן."
Demonstration:
- הצג את ההשפעה בסביבת העבודה: פתח את
System Settings>General>Software Update. - הסבר שכאשר מופעלת מדיניות של Deferral מה-MDM, עדכונים מסוימים או שדרוגי מערכת מלאים (Upgrades) פשוט לא יופיעו למשתמש כלל.
- במידת האפשר, הראה פרופיל מותקן תחת
Privacy & Security>Profilesשמעיד על הגבלות עדכוני תוכנה (Software Update Restrictions).
Instructor Deep-Dive: