לדלג לתוכן

שיעור 12: עדכונים, שדרוגים והגירות (Updates & Migration) – מדריך למדריך (מדריך העברה)

הנחיה למדריך: מסמך זה משמש כטיוטת השיעור והתסריט שלך. כל נושא מחולק למטרת למידה (Objective), תסריט שיחה לכיתה (Discussion), הדרכה להדגמה מעשית (Demonstration), ומידע טכני מורחב למענה על שאלות קשות (Instructor Deep-Dive).


1. טרמינולוגיה ואסטרטגיה: עדכון (Update) מול שדרוג (Upgrade)

Objective: הבנת ההבדלים המדויקים במונחי אפל בין Update, Upgrade, Reinstall ו-Install.

Discussion - Script:

  • "לאפל יש טרמינולוגיה מדויקת למערכות הפעלה."
    • אלו המונחים שתראו במערכות ה-MDM ובמסמכי הפריסה.
  • Update (עדכון): קפיצה בתוך אותה גרסה (למשל, מ-15.1 ל-15.4).
    • המערכת נשארת אותה מערכת.
    • כולל תיקוני באגים ותכונות חדשות.
  • Upgrade (שדרוג): קפיצה לגרסה מרכזית חדשה (למשל, מ-14 ל-15).
    • תהליך כבד הכולל שינויים תשתיתיים.
  • Reinstall (התקנה מחדש): דריסת קבצי מערכת ההפעלה בלבד.
    • לא נוגע במידע של המשתמש (User Data).
    • מעולה לפתרון תקלות.
  • Install (התקנה נקייה): מתרחש לעיתים נדירות.
    • קורה רק כשמאתחלים מחשב לחלוטין (Wipe) אחרי מחיקת כל התוכן.
  • "מדוע שדרוג או התקנה מחדש דורשים 40-50 ג'יגה פנויים?"
    • המערכת קטנה בהרבה מהדרישה הזו.
    • הסיבה: macOS מצלם Snapshot (תמונת מצב) לפני הפעולה.
    • אם ההתקנה נכשלת - מתבצע Rollback למצב הישן בשניות, ללא איבוד מידע.
  • אנלוגיה היסטורית מהעבר: לפני Big Sur וטכנולוגיית ה-SSV, עדכונים פשוט 'זרקו' קבצים חדשים לדיסק דרך קבצי דלתא. כשהתקנות היו נשברות, היינו חייבים להוריד "Combo Updates" ענקיים שדרסו הכל. כיום, הודות ל-Snapshot והחתימה הקריפטוגרפית (SSV), אין יותר טעויות חצי-מעודכנות ואין צורך ב-Combo Updates.

Demonstration:

  • פתח את System Settings > General > Software Update.
    • הראה היכן מופיע עדכון גרסה מינורי (Update).
  • הראה את החלק התחתון של המסך (או באפליקציית ה-App Store).
    • הצג כיצד נראה שדרוג גרסה מלא (Upgrade) המוצג בנפרד.

Instructor Deep-Dive:

העמקת מדריך: המנגנון הנסתר של עדכוני macOS ו-Snapshots * עדכוני macOS מודרניים פועלים על Volume נפרד. * במהלך שדרוג: * מערכת ההפעלה החדשה מותקנת תחת מעטפת וירטואלית. * נחתמת קריפטוגרפית לכדי ה-Sealed System Volume (SSV) החדש. * רק אז מתבצע אליו ה-Boot הראשון. * מדוע נדרש כל כך הרבה נפח פנוי? * המערכת יוצרת APFS Snapshot של מצב הקבצים לפני תחילת התהליך. * במקרה של תקלה (כמו נפילת מתח או שגיאת כתיבה), ה-Kernel מזהה שהחותמת הקריפטוגרפית שבורה. * מתבצע Revert ל-Snapshot של המערכת הקודמת, והכל עולה מחדש ללא פגיעה במידע. * הערה חשובה לגבי שדרוגים: * בארכיטקטורה זו לא ניתן לבצע Downgrade פשוט לגרסה קודמת לאחר שדרוג. * הדרך היחידה היא מחיקת הדיסק או ביצוע רולבק למצב גיבוי מלא.

2. מנגנון RSR: לעדכוני אבטחה מיידיים (Rapid Security Responses)

Objective: הבנת אופן הפעולה של מנגנון עדכוני האבטחה המהירים של אפל וכיצד הוא קשור ל-Cryptex.

Discussion - Script:

  • "ראיתם פעם עדכון שנגמר באות אנגלית בסוגריים, כמו macOS 15.4.1 (a)?"
    • זה נקרא RSR – Rapid Security Response.
  • הרעיון של אפל: מענה מיידי.
    • במקום להמתין לעדכון מערכת הפעלה מלא וכבד להורדה.
    • דחיפת עדכוני אבטחה קריטיים, כמו 'פלסטר' מהיר.
    • חלקם תוכננו להתרחש בלי צורך בהפעלה מחדש (Restart).
  • "איך זה עובד?"
    • מבוסס על טכנולוגיה בשם Cryptex.
    • במקום לפתוח את ה-System Volume הנעול (SSV) המוגן קריפטוגרפית.
    • אפל דוחפת קפסולה קטנה ומוצפנת שמולבשת מעל מערכת ההפעלה בזמן הריצה ומחליפה קבצים פגיעים.
  • דפדפן Safari משתמש בדיוק באותו מנגנון כדי להתעדכן באופן אסינכרוני מחוץ למערכת.
  • בפועל, ברוב מקרי ה-RSR, אפל כן ביקשה לאתחל את המחשב.
    • אך התהליך היה כמעט מיידי בהשוואה לעדכון מסורתי.

Demonstration:

  • נווט אל System Settings > General > Software Update.
  • לחץ על סמל המידע (i) שליד Automatic Updates.
  • הצג את התיבה המסומנת: Install Security Responses and system files.
    • הסבר את החשיבות להשאירה מופעלת בארגונים לשמירה על אבטחה בזמן אמת.

Instructor Deep-Dive:

העמקת מדריך: ארכיטקטורת Cryptex ו-RSR * המונח RSR נשען על קונספט ה-Cryptex (Cryptographically-sealed Extension). * מאגר קבצים נפרד שיושב מחוץ ל-System Volume. * מורכב (Mount) לתוך היררכיית מערכת הקבצים בשלבי האתחול. * היתרון המרכזי: * אפשרות להזרים ולתקן ספריות ליבה (כגון WebKit המשמש את Safari). * כל זה ללא צורך לשבור את חתימת ה-SSV ולדרוש Seal מחדש (פעולה איטית וכבדה). * התמודדות עם תקלות: * משתמש יכול להסיר את ה-RSR דרך ה-System Settings. * macOS תנתק (Unmount) את ה-Cryptex המורכב. * המערכת פשוט תחזור לגרסת הבסיס הצרובה ב-SSV המקורי.

3. Migration Assistant: העברת פרופילים ו-Best Practices

Objective: היכרות עם כלי ה-Migration Assistant וההשלכות של הפעלתו (לעומת הימנעות) בסביבה ארגונית.

Discussion - Script:

  • "בואו נדבר על המעבר ממחשב ישן לחדש: ה-Migration Assistant."
    • כלי מוכר שפוגשים בזמן ההפעלה הראשונה של המק (OOBE).
  • חיבורים אפשריים לייבוא מידע:
    • רשת Wi-Fi (חיבור Peer-to-Peer).
    • כבל Thunderbolt או Ethernet.
    • כונן גיבוי של Time Machine.
  • הכלי סורק ומעביר את הגדרות המשתמש, האפליקציות והמידע.
  • "בסביבה ארגונית, ה-Migration Assistant יכול להיות 'מלכודת דבש'. למה?"
    • העברת פרופיל ממק שעבד שנים מביאה איתה גם את ה"צרות".
    • מעבירים באגים בתיקיות ה-Library ואפליקציות מיושנות שגורמות לקריסות.
    • מעבירים קבצי הגדרות מתנגשים מפרופילי MDM קודמים.
    • המק החדש מגיע 'מזוהם' ביום הראשון לשימוש.
  • ה-Best Practice שלנו לארגונים ולסביבות MDM:
    • לדלג על ה-Migration Assistant לחלוטין.
    • להגדיר את המק החדש מאפס (Clean Slate).
    • לסנכרן רק קבצי עבודה חשובים עם פתרונות ענן ארגוניים (OneDrive או Google Drive).

Demonstration:

  • פתח את Spotlight, חפש את Migration Assistant והרץ אותו.
  • קרא את חלון הפתיחה (מסביר שיסגור אפליקציות אחרות).
    • לחץ Continue להזנת הסיסמה.
  • הראה את המסך הראשון המציג בחירה במקור המידע.
    • From a Mac, Time Machine backup, or startup disk.
  • צא מהכלי מבלי להמשיך הלאה.

Instructor Deep-Dive:

העמקת מדריך: התנגשות משתמשים ב-Migration וניהול MDM * טעות נפוצה מאוד: הפעלת Migration Assistant לאחר תום ה-Setup Assistant. * טכנאי יוצר במק החדש חשבון משתמש מקומי בשם "David", ואז מריץ את הכלי. * הוא מייבא מהגיבוי את הפרופיל שנקרא גם הוא "David". * התוצאה: התנגשות שמות (UID/ShortName conflict). * התמודדות עם ההתנגשות: * המערכת תדרוש או להחליף את החשבון הקיים (פעולה שמוחקת נתונים). * או לשנות את שם החשבון המיובא, מה שמבלבל מאוד את המשתמשים. * הדרך הנכונה ל-Migration: * לבצע את השחזור ישירות במסך ה-OOBE (לפני יצירת משתמש כלל). * או ליצור אדמין זמני נפרד (כגון "ITAdmin"), לייבא את המידע לתוכו, ולמחוק את "ITAdmin" בסיום. * השלכות MDM: * העברת פרופילים בין מחשבים מנוהלים עלולה להעביר גם תעודות קליינט ישנות של ה-MDM. * זה גורם למחשב החדש להפסיק לתקשר עם השרת (Token mismatch) ולפספס פקודות חשובות. * מסיבה זו בלבד, מומלץ להימנע מכך ארגונית.

4. תיבול ארגוני: כפיית עדכונים (Software Update Policies) ו-Deferrals

Objective: שליטה על גרסאות ועדכונים דרך פרופילי ניהול (MDM), כפייה לעומת דחייה (Deferrals).

Discussion - Script:

  • "הגענו לתיבול הארגוני: ניהול עדכוני אפל."
    • זהו אחד האתגרים הגדולים ביותר של מנהלי IT כיום.
  • הקונפליקט בין הרצוי למצוי:
    • מצד אחד: לוודא שכל המקים מעודכנים בגרסת האבטחה האחרונה.
    • מצד שני: להימנע משבירת תוכנות עסקיות קריטיות (אנטי-וירוס) שטרם תומכות בגרסה החדשה.
  • הפתרון דרך MDM: פרופילי Software Update Policies.
    • הגדרת השהיות - Deferrals.
    • הסתרת שדרוגים גדולים (Upgrades) ל-90 יום, ועדכונים קטנים (Updates) ל-14 ימים.
    • מעניק ל-IT חלון זמן קריטי לבדיקות במעבדה.
  • אכיפה חכמה דרך Declarative Device Management (DDM):
    • אפל מאפשרת להגדיר תאריך יעד קשיח (Deadline).
    • למשל: "יש לך עד יום חמישי הבא ב-17:00 לעדכן בזמנך הפנוי".
    • אם היעד חולף: העדכון ייכפה באופן אגרסיבי כולל הפעלה מחדש.
    • שילוב של גמישות לעובד לצד הבטחת אבטחה ארגונית.

Demonstration:

  • הצג את ההשפעה בסביבת העבודה: נווט אל System Settings > General > Software Update.
  • הסבר את השפעת ה-Deferral מה-MDM.
    • עדכונים מסוימים או Upgrades פשוט לא יופיעו למשתמש כלל.
  • (במידת האפשר) הראה פרופיל מותקן תחת Privacy & Security > Profiles.
    • הדגם את הגבלות עדכוני התוכנה (Software Update Restrictions) שמוחלות שם.

Instructor Deep-Dive:

העמקת מדריך: שימוש ב-softwareupdate ופקודות DDM * אפל העבירה את ניהול העדכונים לתשתית ה-DDM (מ-Monterey ועד Sequoia). * פקודות CLI לעדכונים: * `softwareupdate -l` – לאיתור עדכונים. * `softwareupdate -ia` – לניסיון התקנה של כולם (דורש "Volume Ownership" ב-Apple Silicon). * הצורך ב-Bootstrap Token: * חיוני כדי שפקודת MDM מסוג `ScheduleOSUpdate` תעבוד ללא סיסמת משתמש (הפעלה מחדש שקטה). * שרת ה-MDM חייב לאחסן מבעוד מועד את ה-Bootstrap Token של המחשב לניהול סמכויות הקריפטוגרפיה. * ייעול התהליך באמצעות DDM: * במקום ששרת ה-MDM 'יפציץ' את המחשב בפקודות, הוא שולח הצהרה (Declaration) עם ה-Deadline בלבד. * ה-Mac שומר את ההצהרה לוקאלית ומציג למשתמש התראות הולכות וגוברות (Nagging) מטעם מערכת ההפעלה. * בסוף התהליך, העדכון יוחל אוטונומית לחלוטין, אפילו ללא חיבור באותו רגע לרשת הארגונית.