שיעור 12: עדכונים ושדרוגים¶

מעבדה מעשית (תרגול לתלמיד)

מטרת התרגול¶

תרגול שליטה בעדכוני מערכת (Updates ו-Upgrades) באמצעות ממשק המשתמש (GUI), חקירת מנגנון ה-Background Security Improvements (BSI) וה-Cryptex, אימות סטטוס ה-Bootstrap Token ב-Apple Silicon, ותרגול תהליך העברת נתונים נכון באמצעות Migration Assistant בסביבה ארגונית.

תרגיל 1: ניהול עדכוני תוכנה בממשק המשתמש הגרפי (GUI)¶

מה לומדים: להבדיל בין Update (טלאי קטן) ל-Upgrade (שדרוג ראשי) ב-GUI, להגדיר עדכונים אוטומטיים ו-BSI, ולהבין מדוע macOS דורש שטח פנוי גדול בהרבה ממשקל העדכון עצמו (בשל ה-Snapshot המקביל).

תרחיש: עליכם לוודא שהמערכת מעודכנת, להבין היכן מופיעים עדכוני מערכת מינוריים (Updates) לעומת שדרוגים מלאים (Upgrades), ולוודא שעדכוני אבטחה שקטים ברקע (Background Security Improvements) מוגדרים להתקנה אוטומטית כפי שנדרש בארגון.

שלב א': איתור עדכונים זמינים¶

פתחו את אפליקציית System Settings (הגדרות המערכת).
נווטו אל General (כללי) ולאחר מכן בחרו ב-Software Update (עדכוני תוכנה).
המתינו מספר שניות בזמן שהמערכת מחפשת עדכונים בשרתי אפל (Pallas).
שימו לב לחלוקה במסך:
עדכונים מינוריים (Updates): יופיעו בחלק העליון (למשל מעבר מ-26.2 ל-26.3). אלו טלאים נקודתיים.
שדרוגים גדולים (Upgrades): יופיעו בחלק התחתון בנפרד (למשל המלצה לשדרוג ל-macOS חדש לגמרי). ההפרדה נועדה למנוע שדרוג בשוגג ע"י המשתמש.

שלב ב': הגדרת עדכונים אוטומטיים ו-BSI¶

באותו מסך, לחצו על כפתור המידע (סמל ה-i) הממוקם לצד השורה של Automatic Updates.
יוצגו בפניכם מספר מתגים חשובים. ודאו שהמתג הבא דולק: Install Security Responses and system files
משמעות ארגונית: הפעלת מתג זה קריטית. היא מאפשרת ל-macOS לקבל עדכוני אבטחה דחופים (Cryptex) המוזרקים ברקע ללא צורך בבניית SSV שלם, וכן לעדכן את רשימות החתימות הזדוניות של XProtect.
בסיום הבדיקה, לחצו על Done.

תרגיל 2: חקירת מנגנון ה-Cryptex וביטול עדכון אבטחה (BSI Rollback)¶

מה לומדים: לזהות עדכוני אבטחה שקטים המולבשים כ-Cryptex מעל ה-SSV, ולהכיר את מנגנון ה-Rollback המיידי במידה ועדכון גרם לבעיית תאימות.

תרחיש: אפליקציה פנימית של הארגון החלה לקרוס לאחר החלת עדכון אבטחה שקט. עליכם לדעת כיצד לזהות את ה-Cryptex ולבצע Rollback מיידי ללא התקנת מערכת שלמה.

פתחו את System Settings ונווטו אל General -> About.
לחצו על כפתור המידע (סמל ה-i) הממוקם לצד גרסת ה-macOS.
בחלון שייפתח מוצגת גרסת המערכת המדויקת ועדכוני האבטחה (BSI/Cryptex) הפעילים מעליה.
במידה ועדכון כזה מותקן, מופיעה אפשרות Remove & Restart — לחיצה עליה תורה ל-Bootloader לדלג על טעינת ה-Cryptex באתחול הבא ולהחזיר את המחשב ל-SSV הבסיסי והנקי.

תרגיל 3: הדמיית העברת נתונים וסיכוני Migration Assistant בארגון¶

מה לומדים: כיצד פועל ה-Migration Assistant, אילו נתונים מסוכן להעביר, ומדוע מודל ה-Cloud-Native Ephemeral Device עדיף בסביבת Zero-Trust.

תרחיש: משתמש קיבל מק חדש. עליכם לוודא שההעברה לא תדרוס חשבונות (UID Collision) ולא תגרור תוכנות Intel ופרופילים ישנים.

שלב א': הפעלת הכלי ובחינת שלבי האשף¶

פתחו את Migration Assistant מתוך התיקייה /Applications/Utilities.
הכלי ידרוש סיסמת מנהל ויסגור את שאר האפליקציות הפעילות.
במסך הראשון, בחרו ב-From a Mac, Time Machine backup, or startup disk ולחצו על Continue.
(בסימולציה זו אל תבצעו העברה בפועל, אלא התמקדו באפשרויות הבחירה).

שלב ב': כללי אצבע למניעת תקלות (Enterprise Best Practices)¶

כאשר המחשב מזהה מקור, הוא מציג חלוקה ל-4 קטגוריות: Users, Applications, Other Files & Folders, System & Network.
כללי זהירות קריטיים בארגון:
סמנו אך ורק את תיקיית המשתמש הרלוונטית.
הסירו את הסימון מ-System & Network (כדי למנוע דריסת הגדרות רשת ופרופילי MDM).
הסירו את הסימון מ-Applications (כדי למנוע גרירת Kexts מיושנים מאינטל ואפליקציות שאינן תואמות).
מלכוד ה-UID Collision: אם קיים משתמש עם אותו שם במק החדש, בחירה ב-Keep Both תוסיף מספר לשם המשתמש ותשבור נתיבים, בעוד ש-Replace תדרוס את המידע לחלוטין.
צאו מהאשף כעת בצורה מסודרת (Quit).

תרגיל 4: אימות Bootstrap Token ופקודות CLI ב-Terminal¶

מה לומדים: לאמת את הפקדת ה-Bootstrap Token בשרת ה-MDM ב-Apple Silicon, לסרוק עדכונים דרך ה-Terminal, ולהכיר את הפקודה להורדת מתקין מלא (Universal Mac Assistant).

תרחיש: כמנהלי מערכת, עליכם לוודא שהמחשב מסוגל לקבל עדכונים שקטים וכפויים מה-MDM ללא דרישת סיסמה ממשתמש ה-Standard, וללמוד כיצד למשוך מתקין מלא.

שלב א': בדיקת סטטוס ה-Bootstrap Token¶

פתחו את אפליקציית ה-Terminal.
הריצו את הפקודה הבאה לבדיקת סטטוס ה-Bootstrap Token מול ה-MDM:
```
sudo profiles status -type bootstraptoken
```
פענוח הפלט: ודאו שמופיעה השורה Bootstrap token is escrowed to server: YES. הדבר מאשר שה-MDM יכול לאשר עדכונים ברקע בצורה חוקית.

שלב ב': סריקת עדכונים ב-CLI¶

הריצו את הפקודה לסריקת עדכונים זמינים:
```
softwareupdate -l
```
שימו לב להבדל בין התוויות (Labels) של עדכונים שוטפים לעומת שדרוגי מערכת מלאים.
הורדת מתקין מלא (סימולציה):
```
softwareupdate --fetch-full-installer
```
(תוכלו לעצור את ההורדה הכבדה בכל שלב באמצעות Control + C).

דלג לאותו שלב בשיעור הבא ⬅️