לדלג לתוכן

שיעור 08: טרמינל ושירותי רקע

**חלק א': מאגר ידע למדריך **

1. מבוא לטרמינל (Terminal)

1. High-Level Theory & History

ממשק שורת הפקודה (CLI), המיוצג ב-macOS על ידי אפליקציית ה-Terminal, הוא שער הגישה הישיר ביותר לליבת המערכת (Darwin). בעוד שהממשק הגרפי (GUI) של macOS נועד להסתיר מורכבות ולספק חווית משתמש חלקה, אנשי IT ותמיכה חייבים לעקוף מעטפת זו כדי לבצע אבחון מדויק, אוטומציה וניהול מרחוק. היסטורית, הטרמינל וסקריפטים שרצים בו הגיעו לעולם המק ממערכת NeXTSTEP עם השקת Mac OS X 10.0 Cheetah בשנת 2001.

המעבר ל-Zsh (Z shell) כמעטפת ברירת המחדל (החל מ-macOS Catalina) יישר קו עם סטנדרטים מודרניים של סקריפטים וסיפק כלי פיתוח חזקים יותר לעומת Bash הוותיק. שליטה בטרמינל היא קריטית משום שכלי MDM מריצים פקודות וסקריפטים ברמת ה-CLI תחת הרשאות Root, ולא דרך הממשק הגרפי.

[!TIP] הערת מורשת (Legacy) לגבי Bash: לפני Catalina, מעטפת Bash הייתה ברירת המחדל. בגלל בעיות רישוי (הימנעות מרישיון GPLv3), אפל עברה ל-Zsh. עדיין תמצאו במערכת את /bin/bash אך בגרסה ישנה מאוד. סקריפטים מודרניים צריכים להיכתב מתוך הנחה שמורץ Zsh.

2. Deep Technical Architecture

כאשר משתמש פותח את אפליקציית Terminal.app, המערכת מריצה את תהליך ה-login שקורא את קבצי התצורה של המעטפת (כגון /etc/zprofile, /etc/zshrc, ולאחר מכן את הקבצים בספריית הבית ~/.zprofile ו-~/.zshrc). הטרמינל עצמו אינו ה"מערכת", אלא רק תוכנת מעטפת (Emulator) שמתקשרת עם תהליך ה-zsh (ה-Shell).

פקודות שמורצות בטרמינל מתורגמות לקריאות מערכת (System Calls) המועברות ל-Kernel (XNU). כאשר מריצים פקודות עם sudo, המערכת בודקת את הרשאות המשתמש מול קובץ /etc/sudoers (באמצעות קריאה ל-Directory Service המקומי של המק) ודורשת סיסמה או אישור Touch ID (אם הוגדר) כדי להעניק הרשאות Root זמניות לאותו תהליך בלבד.

3. Terminal Commands, Plists & Logs

  • קיצורי דרך חיוניים:

    • Ctrl + A: קפיצה לתחילת השורה.
    • Ctrl + E: קפיצה לסוף השורה.
    • Ctrl + C: ביטול (Interrupt) פקודה שרצה כרגע.
    • Ctrl + L (או הפקודה clear): ניקוי המסך.
    • Tab: השלמה אוטומטית של נתיבים או פקודות.

  • פקודות ניווט ובסיס:

    • pwd: Print Working Directory.
    • ls -la: הצגת כל הקבצים כולל קבצים נסתרים והרשאות.
    • cd ~: חזרה לספריית הבית של המשתמש.

  • הגדרות טרמינל:

    • קובץ העדפות הטרמינל: ~/Library/Preferences/com.apple.Terminal.plist

4. Edge Cases & Troubleshooting

  • בעיה: הרשאות ה-Terminal חסומות (למשל, הטרמינל מודיע Operation not permitted בעת ניסיון לגשת לתיקיית Downloads או Desktop).
    • פתרון: מנגנון ה-TCC (Transparency, Consent, and Control) חוסם את הטרמינל. יש לגשת ל-System Settings > Privacy & Security > Full Disk Access (או Files and Folders) ולוודא שלאפליקציית Terminal יש הרשאות. בארגון, ניתן לדחוף פרופיל PPPC (Privacy Preferences Policy Control) שמעניק לטרמינל (או לכלי שורת פקודה אחר) את הגישה הנדרשת מראש.
  • בעיה: תהליכים לא מגיבים ל-Ctrl + C (תהליך "זומבי" או תקוע).
    • פתרון: פתיחת חלון טרמינל חדש (Cmd + N), איתור ה-PID באמצעות top או ps -ax, וחיסול התהליך באמצעות kill -9 <PID>.

2. הלב של המערכת: launchd, DAS, ו-CTS

1. High-Level Theory & History

מנגנון ה-launchd הוא ה"הורה" של כל התהליכים ב-macOS. הוא פותח במקור על ידי Dave Zarzycki ושוחרר לראשונה ב-2005 (Mac OS X 10.4 Tiger). הוא מחליף את מערכות האתחול הישנות של Unix (כמו init, rc, inetd, cron ועוד) לכדי תהליך ניהול אחד אחוד. הוא אחראי להפעיל את המערכת, לנהל את תהליכי הרקע, להפעיל שירותים לפי דרישה (On-Demand), ולפקח עליהם (להפעילם מחדש אם קרסו).

מאחר ש-launchd היה נוקשה מדי בתזמון המשימות שלו, אפל הוסיפה בהמשך כלים בשם DAS (Duet Activity Scheduler) ו-CTS (Centralized Task Scheduling) בגרסת OS X 10.10. מנגנון DAS מנהל רשימת משימות מתוזמנות ומנקד אותן (Scoring) בהתאם למצב הסוללה, חיבור לחשמל, עומס מעבד וטמפרטורה. כאשר התנאים אידיאליים, CTS מוציא לפועל את המשימה באמצעות ערוץ תקשורת XPC.

בגרסאות מודרניות, כולל macOS 26 Tahoe, אפל הרחיבה את המערכת האקולוגית של הרקע. בין היתר, Tahoe מציגה את LaunchAngels, סיווג חדש של שירותי מערכת המנוהלים ישירות על ידי RunningBoard תחת ניהול העל של launchd.

2. Deep Technical Architecture

מיד לאחר שה-Kernel מסיים את טעינתו מתוך ה-System Volume (SSV) המוגן, הוא מעביר את השליטה לתהליך launchd אשר מקבל תמיד את ה-Process ID של 1 (PID 1).

  • ברמת המערכת: בשלב הראשון, launchd רץ ברמת ה-System (כ-root). הוא קורא את קבצי התצורה של ה-LaunchDaemons מתוך הנתיבים המובנים (/System/Library/LaunchDaemons) והחיצוניים (/Library/LaunchDaemons).
  • ברמת המשתמש: כאשר משתמש מבצע Login, תהליך ה-launchd הראשי מוליד (Spawns) עותק נוסף של launchd שרץ תחת ה-UID של אותו משתמש. תהליך משני זה קורא את ה-LaunchAgents מנתיבי המערכת וכן מהנתיב המקומי של המשתמש (~/Library/LaunchAgents).
  • LaunchAngels (ב-macOS Tahoe 26): נוספה תיקייה חדשה בשם /System/Library/LaunchAngels. מדובר באפליקציות שירות פנימיות של אפל (כמו AccessibilityUIServer או GameOverlayUI) אשר כוללות הגדרות ניהול-חיים מול RunningBoard (לדוגמה Managed: true). אלו נעולים על ה-SSV ולא ניתנים לשינוי.

launchd משתמש במנגנון IPC (Inter-Process Communication) מסוג XPC כדי לאפשר לאפליקציות לתקשר עם ה-Daemons בצורה מאובטחת.

3. Terminal Commands, Plists & Logs

  • קריאה וניהול של תהליכים (פקודת העל launchctl):

    • רשימת כל התהליכים שרצים תחת ה-launchd הנוכחי: launchctl list

    • הדפסת עץ מלא של כל השירותים והסטטוס שלהם: launchctl print system (ברמת המערכת - דורש sudo) launchctl print gui/$(id -u) (ברמת המשתמש)

    • הטענה (Load/Bootstrap) והורדה (Unload/Bootout) של תהליך: sudo launchctl bootstrap system /Library/LaunchDaemons/com.example.plist sudo launchctl bootout system /Library/LaunchDaemons/com.example.plist

  • נתיבי קבצי התצורה:

    • /System/Library/LaunchDaemons (בליבת המערכת - SSV מוגן).
    • /Library/LaunchDaemons (לתוכנות צד שלישי).
    • ~/Library/LaunchAgents (לשירותים ברמת המשתמש הספציפי).
    • /System/Library/LaunchAngels (ב-Tahoe, שירותים מנוהלי RunningBoard).

4. Edge Cases & Troubleshooting

  • בעיה: אפליקציה מנסה לטעון Daemon חיצוני ונכשלת שוב ושוב.
    • פתרון: החל מ-macOS Ventura הוכנסה שכבת שקיפות בשם "Background Task Management" (BTM). אם המשתמש ביטל את הפריט תחת System Settings > General > Login Items & Extensions, ה-launchd יסרב לטעון את ה-Daemon, וכל ניסיון להריץ launchctl bootstrap ייכשל עם שגיאה Service cannot load in requested session.
  • פתרון תקלות עמוק בעזרת sfltool:
    • ב-macOS Tahoe ניהול עמוק של BTM נעשה דרך פקודת sfltool הלא-מתועדת רשמית.
    • שליפת כל בסיס הנתונים של ה-BTM כדי להבין מה חסום: sudo sfltool dumpbtm > ~/Documents/btmdump.txt
    • איפוס מלא (אופציה גרעינית) לבסיס נתוני תהליכי הרקע בעת השחתה: sudo sfltool resetbtm
  • הגדרות ארגוניות (MDM): בארגון, יש למנוע מהמשתמשים את היכולת לבטל שירותים קריטיים על ידי דחיפת פרופיל תצורה מסוג ServiceManagement המאשר אותם ספציפית ומונע מהמשתמש לכבותם במסך ההגדרות.

3. אבחון עמוק

1. High-Level Theory & History

אבחון עמוק של מערכת עובדת ב-macOS דורש הבנה של שני עולמות: משאבי חומרה (ניהול זיכרון ו-CPU דרך Activity Monitor או כלי שורת פקודה) ומבנה נתונים והגדרות (קבצי Plist).

ההיסטוריה של Activity Monitor החלה כתוכנות נפרדות כמו Process Viewer ו-CPU Monitor שהתאחדו ב-2003 לתוכנה אחת מקיפה. אפל משתמשת בקבצי Plist (Property List) כדי לשמור את כל הגדרה, העדפה וקובץ תצורה של אפליקציות ומערכת ההפעלה. הפורמט צמח מ-SGML העתיק, ובשנת 2002 עברה המערכת לפורמט בינארי (bplist) שמשפר את מהירות הטעינה ומונע עריכה לא מכוונת. Activity Monitor מספק מבט בזמן אמת על התנהגות המערכת, כאשר מושג המפתח "Memory Pressure" מחליף לחלוטין את ההסתכלות הישנה והפשטנית של "כמה זיכרון RAM נשאר פנוי".

2. Deep Technical Architecture

  • ניהול זיכרון (Memory Pressure): מערכת macOS משתמשת בטכנולוגיית Memory Compression ובמנגנון ה-Swap. כשהזיכרון הפיזי (RAM) מתחיל להתמלא, המערכת קודם כל דוחסת אותו במקום. כאשר גם הדחיסה אינה מספיקה, היא מתחילה להעביר "דפים" (Pages) שאינם בשימוש מה-RAM לכונן ה-SSD (תהליך ה-Swap). גרף ה-Memory Pressure מסכם התנהגות זו:
    • ירוק: המערכת מתנהלת היטב ומנהלת את הזיכרוןביעילות.
    • צהוב: מעיד על תהליך דחיסה אינטנסיבי ולחץ גובר.
    • אדום: "Swap Death" – המערכת נלחמת על משאבי קלט/פלט (I/O) מול ה-SSD והביצועים יתרסקו לחלוטין.
  • Plist (Property Lists) ו-cfprefsd: קבצי ה-Plist מבוססים על מבנה XML או מקודדים בינארית לטובת חיסכון במקום ומהירות קריאה. לרוב הם מנוהלים ומאוכסנים במטמון על ידי התהליך cfprefsd (Core Foundation Preferences Daemon). בשל השימוש במטמון (Cache), עריכה ידנית של קובץ Plist דרך עורך טקסט בזמן שהאפליקציה או התהליך רצים עשויה להידרס (Overwritten) על ידי המערכת ברגע שהאפליקציה תשמור הגדרות בחזרה.

3. Terminal Commands, Plists & Logs

  • ניטור משאבים בטרמינל:

    • top -u (מציג את התהליכים הצורכים הכי הרבה CPU).
    • htop או כלי ניטור פנימי של powermetrics לאבחון תרמי/ביצועים (דורש sudo).

  • עבודה עם קבצי Plist פקודת plutil:

    • סריקה ובדיקת תקינות הקובץ (מציג שגיאות Syntax אם ישנן): plutil -lint /path/to/file.plist

    • המרת קובץ בינארי ל-XML קריא (XML1): sudo plutil -convert xml1 /path/to/file.plist

    • המרת קובץ חזרה לפורמט בינארי: sudo plutil -convert binary1 /path/to/file.plist

    • קריאה מהירה של קובץ בינארי כמבנה נתונים בטרמינל: plutil -p /path/to/file.plist

4. Edge Cases & Troubleshooting

  • בעיה: עומס זיכרון קיצוני (אדום) ב-Activity Monitor, אבל ה-CPU נמוך.
    • פתרון: יש למיין את טבלת הזיכרון לפי עמודת ה-Memory, ולחפש תהליכים עם "Memory Leak" (דליפת זיכרון שבה התוכנה לא משחררת זיכרון שלא בשימוש). במקרים של תוכנות צד-שלישי או Daemons בעייתיים, ניתן להשתמש ב-kill -9 על התהליך הספציפי, או לאפס את ההעדפות (מחיקת ה-plist של האפליקציה) אם התקלה חוזרת על עצמה מיד בפתיחה.
  • בעיה: קובץ Plist נפגם לאחר עריכה (נניח בניסיון לערוך קובץ LaunchDaemon).
    • פתרון: הרצת plutil -lint תזהה בדיוק באיזו שורה ב-XML קיים הפגם (למשל סגירת תגית חסרה </dict>). תיקון התגית ושמירה. אין לעשות launchctl bootstrap עד שהקובץ עובר את בדיקת ה-lint בהצלחה.

4. תיבול ארגוני (MDM)

1. High-Level Theory & History

בסביבה ארגונית, ה-Mac אינו עומד בפני עצמו – הוא מנוהל (Managed) על ידי מערכת MDM (Mobile Device Management). הליבה של קשר זה אינה מבוססת רק על התקנת "אפליקציה" של ספק ה-MDM, אלא נשענת עמוקות על היכולות המובנות במערכת ההפעלה של אפל. פרוטוקול ה-MDM שולח פקודות בפורמט XML דרך שרתי Push (APNs) אל הלקוח. בצד של המק, הרכיב המובנה שאחראי על אכיפת הפוליסות, התקנת הפרופילים, וקבלת פקודות כגון נעילה וניתוב מחדש, הוא תהליך ה-mdmclient.

2. Deep Technical Architecture

תהליך ה-mdmclient מתפקד כ-Daemon ברמת המערכת וכ-Agent ברמת המשתמש.

  • האזנה ל-APNs: הוא מאזין לערוץ תקשורת מיוחד מול שרתי ה-APNs של Apple. כשהוא מקבל "Wake Up" דרך APNs, התהליך "מתעורר" ויוצר קשר יוצא (Outbound HTTPS) אל שרת ה-MDM הארגוני כדי לקבל פקודות (Polling).
  • אכיפת פרופילים (profiled): הוא פועל במקביל למנוע פרופילי התצורה (profiled). כאשר מגיעה הוראה משרת ה-MDM להתקין פרופיל תצורה (Configuration Profile), mdmclient מעביר את ההוראה ל-profiled, שמחיל את השינוי במערכת ההפעלה (למשל, אכיפת הגדרת אבטחה, הוספת VPN, או הסתרת הגדרות מסוימות ב-System Settings).
  • התערבות Daemons צד ג': מרבית ספקי ה-MDM (כגון Jamf, Kandji, Intune) יפרסו בנוסף ל-mdmclient המובנה גם LaunchDaemon מקוסטם משלהם (למשל /Library/LaunchDaemons/com.jamfsoftware.task.1.daemon.plist), אשר רץ כמשתמש root ומריץ סקריפטים ופעולות מורכבות יותר ממה שפרוטוקול ה-MDM הבסיסי של אפל מאפשר.

3. Terminal Commands, Plists & Logs

  • פקודות ניהול למערכת ה-Profiles:

    • הצגת רשימת כל הפרופילים המותקנים על המחשב (רמת המערכת): sudo profiles show -type configuration

    • כפיית סנכרון מחודש מול שרת ה-MDM: sudo profiles renew -type enrollment

  • ניטור ה-MDM ב-Activity Monitor וב-Console:

    • ב-Activity Monitor, ניתן לחפש תחת שורת החיפוש mdmclient או את שם ה-Daemon של פלטפורמת ה-MDM.
  • שאיבת לוגים לאבחון בעיות סנכרון (mdmclient):
    • זרם לוגים בזמן אמת של פעילות לקוח ה-MDM (מעולה לראות מה קורה מיד כששולחים פקודה מהשרת): log stream --predicate 'process == "mdmclient"' --info

4. Edge Cases & Troubleshooting

  • בעיה: מחשב מק מופיע כ"לא מגיב" (Unresponsive) במסוף ניהול ה-MDM של ה-IT, ופקודות נתקעות במצב Pending.
    • פתרון:
      1. יש לוודא שה-Daemon הרשמי של חברת ה-MDM עדיין רץ. ניתן לעשות זאת באמצעות Activity Monitor או launchctl print system | grep [mdm-vendor-name].
      2. יש לבדוק האם המחשב מקבל הודעות Push (APNs). אם יש בעיית רשת בארגון שחוסמת פורט 5223 או את טווחי כתובות ה-IP 17.0.0.0/8, ה-mdmclient לעולם לא יקבל את הודעת ה-"Wake Up".
      3. כדי לאבחן בדיוק היכן החסימה, אנשי תמיכה ישתמשו בפקודת log stream בשילוב עם mdmclient, ולאחר מכן ישלחו פקודת רענון ידנית או ישתמשו ב-sudo profiles renew -type enrollment. אם בלוגים יופיעו שגיאות של NSURLErrorDomain (כגון שגיאה 1009- או 1004-), זוהי אינדיקציה חותכת לכך שחומת האש הארגונית, או פרוקסי אגרסיבי, מיירטים את תעבורת ה-SSL של שרת ה-MDM ומונעים את החיבור עקב שבירת Certificate Pinning.
  • בעיה: שגיאת פריסה של סוכן צד-שלישי.
    • פתרון: במידה ו-Daemon של MDM או תוכנת הגנה קורסים (Crash), ניתן לבחון האם הם מושעים (Bootout) ולהעלות אותם מחדש בעזרת launchctl bootstrap לטובת חידוש תקשורת מהיר ללא הפעלה מחדש של המערכת כולה.

💡 עזרים ויזואליים להרצאה (Presentation Visuals)

[!NOTE] תמונות אלו ניתנות להקרנה בכיתה בעת הסבר על הנושא, או לשילוב במצגות.

Slide81_image94 Slide81_image95 26-Tahoe-Automator-scaled 26-Tahoe-Console-scaled 26-Tahoe-Script-Editor-scaled 26-Tahoe-Shortcuts-scaled