שיעור 12: עדכונים, שדרוגים והגירות (Updates & Migration) – מדריך למדריך (מדריך העברה)¶
הנחיה למדריך: מסמך זה משמש כטיוטת השיעור והתסריט שלך. כל נושא מחולק למטרת למידה (Objective), תסריט שיחה לכיתה (Discussion), הדרכה להדגמה מעשית (Demonstration), ומידע טכני מורחב למענה על שאלות קשות (Instructor Deep-Dive).
1. טרמינולוגיה ואסטרטגיה: עדכון (Update) מול שדרוג (Upgrade)¶
Objective: הבנת ההבדלים המדויקים במונחי אפל בין Update, Upgrade, Reinstall ו-Install.
Discussion - Script:
- "לאפל יש טרמינולוגיה מדויקת למערכות הפעלה."
- אלו המונחים שתראו במערכות ה-MDM ובמסמכי הפריסה.
- Update (עדכון): קפיצה בתוך אותה גרסה (למשל, מ-15.1 ל-15.4).
- המערכת נשארת אותה מערכת.
- כולל תיקוני באגים ותכונות חדשות.
- Upgrade (שדרוג): קפיצה לגרסה מרכזית חדשה (למשל, מ-14 ל-15).
- תהליך כבד הכולל שינויים תשתיתיים.
- Reinstall (התקנה מחדש): דריסת קבצי מערכת ההפעלה בלבד.
- לא נוגע במידע של המשתמש (User Data).
- מעולה לפתרון תקלות.
- Install (התקנה נקייה): מתרחש לעיתים נדירות.
- קורה רק כשמאתחלים מחשב לחלוטין (Wipe) אחרי מחיקת כל התוכן.
- "מדוע שדרוג או התקנה מחדש דורשים 40-50 ג'יגה פנויים?"
- המערכת קטנה בהרבה מהדרישה הזו.
- הסיבה: macOS מצלם Snapshot (תמונת מצב) לפני הפעולה.
- אם ההתקנה נכשלת - מתבצע Rollback למצב הישן בשניות, ללא איבוד מידע.
- אנלוגיה היסטורית מהעבר: לפני Big Sur וטכנולוגיית ה-SSV, עדכונים פשוט 'זרקו' קבצים חדשים לדיסק דרך קבצי דלתא. כשהתקנות היו נשברות, היינו חייבים להוריד "Combo Updates" ענקיים שדרסו הכל. כיום, הודות ל-Snapshot והחתימה הקריפטוגרפית (SSV), אין יותר טעויות חצי-מעודכנות ואין צורך ב-Combo Updates.
Demonstration:
- פתח את
System Settings>General>Software Update.- הראה היכן מופיע עדכון גרסה מינורי (Update).
- הראה את החלק התחתון של המסך (או באפליקציית ה-App Store).
- הצג כיצד נראה שדרוג גרסה מלא (Upgrade) המוצג בנפרד.
Instructor Deep-Dive:
העמקת מדריך: המנגנון הנסתר של עדכוני macOS ו-Snapshots
* עדכוני macOS מודרניים פועלים על Volume נפרד. * במהלך שדרוג: * מערכת ההפעלה החדשה מותקנת תחת מעטפת וירטואלית. * נחתמת קריפטוגרפית לכדי ה-Sealed System Volume (SSV) החדש. * רק אז מתבצע אליו ה-Boot הראשון. * מדוע נדרש כל כך הרבה נפח פנוי? * המערכת יוצרת APFS Snapshot של מצב הקבצים לפני תחילת התהליך. * במקרה של תקלה (כמו נפילת מתח או שגיאת כתיבה), ה-Kernel מזהה שהחותמת הקריפטוגרפית שבורה. * מתבצע Revert ל-Snapshot של המערכת הקודמת, והכל עולה מחדש ללא פגיעה במידע. * הערה חשובה לגבי שדרוגים: * בארכיטקטורה זו לא ניתן לבצע Downgrade פשוט לגרסה קודמת לאחר שדרוג. * הדרך היחידה היא מחיקת הדיסק או ביצוע רולבק למצב גיבוי מלא.2. מנגנון RSR: לעדכוני אבטחה מיידיים (Rapid Security Responses)¶
Objective: הבנת אופן הפעולה של מנגנון עדכוני האבטחה המהירים של אפל וכיצד הוא קשור ל-Cryptex.
Discussion - Script:
- "ראיתם פעם עדכון שנגמר באות אנגלית בסוגריים, כמו macOS 15.4.1 (a)?"
- זה נקרא RSR – Rapid Security Response.
- הרעיון של אפל: מענה מיידי.
- במקום להמתין לעדכון מערכת הפעלה מלא וכבד להורדה.
- דחיפת עדכוני אבטחה קריטיים, כמו 'פלסטר' מהיר.
- חלקם תוכננו להתרחש בלי צורך בהפעלה מחדש (Restart).
- "איך זה עובד?"
- מבוסס על טכנולוגיה בשם Cryptex.
- במקום לפתוח את ה-System Volume הנעול (SSV) המוגן קריפטוגרפית.
- אפל דוחפת קפסולה קטנה ומוצפנת שמולבשת מעל מערכת ההפעלה בזמן הריצה ומחליפה קבצים פגיעים.
- דפדפן Safari משתמש בדיוק באותו מנגנון כדי להתעדכן באופן אסינכרוני מחוץ למערכת.
- בפועל, ברוב מקרי ה-RSR, אפל כן ביקשה לאתחל את המחשב.
- אך התהליך היה כמעט מיידי בהשוואה לעדכון מסורתי.
Demonstration:
- נווט אל
System Settings>General>Software Update. - לחץ על סמל המידע (i) שליד Automatic Updates.
- הצג את התיבה המסומנת:
Install Security Responses and system files.- הסבר את החשיבות להשאירה מופעלת בארגונים לשמירה על אבטחה בזמן אמת.
Instructor Deep-Dive:
העמקת מדריך: ארכיטקטורת Cryptex ו-RSR
* המונח RSR נשען על קונספט ה-Cryptex (Cryptographically-sealed Extension). * מאגר קבצים נפרד שיושב מחוץ ל-System Volume. * מורכב (Mount) לתוך היררכיית מערכת הקבצים בשלבי האתחול. * היתרון המרכזי: * אפשרות להזרים ולתקן ספריות ליבה (כגון WebKit המשמש את Safari). * כל זה ללא צורך לשבור את חתימת ה-SSV ולדרוש Seal מחדש (פעולה איטית וכבדה). * התמודדות עם תקלות: * משתמש יכול להסיר את ה-RSR דרך ה-System Settings. * macOS תנתק (Unmount) את ה-Cryptex המורכב. * המערכת פשוט תחזור לגרסת הבסיס הצרובה ב-SSV המקורי.3. Migration Assistant: העברת פרופילים ו-Best Practices¶
Objective: היכרות עם כלי ה-Migration Assistant וההשלכות של הפעלתו (לעומת הימנעות) בסביבה ארגונית.
Discussion - Script:
- "בואו נדבר על המעבר ממחשב ישן לחדש: ה-Migration Assistant."
- כלי מוכר שפוגשים בזמן ההפעלה הראשונה של המק (OOBE).
- חיבורים אפשריים לייבוא מידע:
- רשת Wi-Fi (חיבור Peer-to-Peer).
- כבל Thunderbolt או Ethernet.
- כונן גיבוי של Time Machine.
- הכלי סורק ומעביר את הגדרות המשתמש, האפליקציות והמידע.
- "בסביבה ארגונית, ה-Migration Assistant יכול להיות 'מלכודת דבש'. למה?"
- העברת פרופיל ממק שעבד שנים מביאה איתה גם את ה"צרות".
- מעבירים באגים בתיקיות ה-Library ואפליקציות מיושנות שגורמות לקריסות.
- מעבירים קבצי הגדרות מתנגשים מפרופילי MDM קודמים.
- המק החדש מגיע 'מזוהם' ביום הראשון לשימוש.
- ה-Best Practice שלנו לארגונים ולסביבות MDM:
- לדלג על ה-Migration Assistant לחלוטין.
- להגדיר את המק החדש מאפס (Clean Slate).
- לסנכרן רק קבצי עבודה חשובים עם פתרונות ענן ארגוניים (OneDrive או Google Drive).
Demonstration:
- פתח את Spotlight, חפש את
Migration Assistantוהרץ אותו. - קרא את חלון הפתיחה (מסביר שיסגור אפליקציות אחרות).
- לחץ Continue להזנת הסיסמה.
- הראה את המסך הראשון המציג בחירה במקור המידע.
- From a Mac, Time Machine backup, or startup disk.
- צא מהכלי מבלי להמשיך הלאה.
Instructor Deep-Dive:
העמקת מדריך: התנגשות משתמשים ב-Migration וניהול MDM
* טעות נפוצה מאוד: הפעלת Migration Assistant לאחר תום ה-Setup Assistant. * טכנאי יוצר במק החדש חשבון משתמש מקומי בשם "David", ואז מריץ את הכלי. * הוא מייבא מהגיבוי את הפרופיל שנקרא גם הוא "David". * התוצאה: התנגשות שמות (UID/ShortName conflict). * התמודדות עם ההתנגשות: * המערכת תדרוש או להחליף את החשבון הקיים (פעולה שמוחקת נתונים). * או לשנות את שם החשבון המיובא, מה שמבלבל מאוד את המשתמשים. * הדרך הנכונה ל-Migration: * לבצע את השחזור ישירות במסך ה-OOBE (לפני יצירת משתמש כלל). * או ליצור אדמין זמני נפרד (כגון "ITAdmin"), לייבא את המידע לתוכו, ולמחוק את "ITAdmin" בסיום. * השלכות MDM: * העברת פרופילים בין מחשבים מנוהלים עלולה להעביר גם תעודות קליינט ישנות של ה-MDM. * זה גורם למחשב החדש להפסיק לתקשר עם השרת (Token mismatch) ולפספס פקודות חשובות. * מסיבה זו בלבד, מומלץ להימנע מכך ארגונית.4. תיבול ארגוני: כפיית עדכונים (Software Update Policies) ו-Deferrals¶
Objective: שליטה על גרסאות ועדכונים דרך פרופילי ניהול (MDM), כפייה לעומת דחייה (Deferrals).
Discussion - Script:
- "הגענו לתיבול הארגוני: ניהול עדכוני אפל."
- זהו אחד האתגרים הגדולים ביותר של מנהלי IT כיום.
- הקונפליקט בין הרצוי למצוי:
- מצד אחד: לוודא שכל המקים מעודכנים בגרסת האבטחה האחרונה.
- מצד שני: להימנע משבירת תוכנות עסקיות קריטיות (אנטי-וירוס) שטרם תומכות בגרסה החדשה.
- הפתרון דרך MDM: פרופילי Software Update Policies.
- הגדרת השהיות - Deferrals.
- הסתרת שדרוגים גדולים (Upgrades) ל-90 יום, ועדכונים קטנים (Updates) ל-14 ימים.
- מעניק ל-IT חלון זמן קריטי לבדיקות במעבדה.
- אכיפה חכמה דרך Declarative Device Management (DDM):
- אפל מאפשרת להגדיר תאריך יעד קשיח (Deadline).
- למשל: "יש לך עד יום חמישי הבא ב-17:00 לעדכן בזמנך הפנוי".
- אם היעד חולף: העדכון ייכפה באופן אגרסיבי כולל הפעלה מחדש.
- שילוב של גמישות לעובד לצד הבטחת אבטחה ארגונית.
Demonstration:
- הצג את ההשפעה בסביבת העבודה: נווט אל
System Settings>General>Software Update. - הסבר את השפעת ה-Deferral מה-MDM.
- עדכונים מסוימים או Upgrades פשוט לא יופיעו למשתמש כלל.
- (במידת האפשר) הראה פרופיל מותקן תחת
Privacy & Security>Profiles.- הדגם את הגבלות עדכוני התוכנה (Software Update Restrictions) שמוחלות שם.
Instructor Deep-Dive: