שיעור 15: דיאגנוסטיקה¶

חלק ב': מדריך העברה למרצה

זהו מדריך המנחה (מדריך העברה) עבור שיעור 15. מסמך זה משמש כתוכנית שיעור ותסריט למדריך, ומותאם אישית להעברה פרונטלית או מקוונת של החומר.

1. עיקרון הבידוד (Isolation)¶

מטרת השיעור (Objective): ללמד את הלומדים כיצד לגשת לפתרון תקלות מורכבות בצורה לוגית על ידי "חיתוך" הבעיה לחצי, והפרדה בין בעיות משתמש לבעיות מערכת בעזרת System Settings.
תסריט שיחה (Discussion - Script):
"היום אנחנו מדברים על איך ניגשים לפתרון בעיות במק."
פיסת היסטוריה למנחה: ציינו בפני התלמידים שבימי Mac OS X הראשונים, בידוד תקלות היה פשוט בהרבה: המערכת הריצה רק כ-34 תהליכי רקע (בהשוואה למאות תהליכים שרצים כיום ב-Activity Monitor). בנוסף, עד 2016 קבצי לוג נשמרו כטקסט פשוט, מה שהקל על הקריאה שלהם באפליקציית Console לפני המעבר למערכת ה-Unified Logs הבינארית.
כלל הזהב: אנחנו לא מנחשים – אנחנו מבודדים (Isolation).
- המטרה: לחתוך את הבעיה לחצי.
שאלות מפתח לבידוד:
- האם הבעיה קורית למשתמש ספציפי או לכלל המשתמשים?
- האם התקלה בתוכנה או בחומרה?
חיתוך מרחב האפשרויות חוסך שעות של עבודה.
הדרך המהירה לבדוק (OS מול User):
- צרו משתמש בדיקה ב-System Settings.
- אם הבעיה לא חוזרת שם = התקלה היא User-Specific.
- המשמעות: הבעיה ב-Home Folder של המשתמש המקורי (לרוב קובץ הגדרות פגום).
הדגמה מעשית (Demonstration):
פתחו System Settings ונווטו ל-Users & Groups.
צרו משתמש בדיקה (Test User):
- הגדירו לו הרשאות Standard.
בצעו Log Out או השתמשו ב-Fast User Switching:
- היכנסו לחשבון החדש שיצרתם.
הסבירו תוך כדי:
- "במשתמש החדש, נבדוק אם הבעיה משתחזרת."
- "אם הכל עובד תקין, נשללה בעיית מערכת - אין צורך בהתקנת macOS מחדש."
Instructor Deep-Dive:

הרחבה טכנית למדריך: שיטות Isolation עמוקות

בעיות User-Specific (חשבון יחיד):
- המידע הפגום נמצא ב-~/Library של המשתמש.
- מוקדי חיפוש עיקריים: Preferences, Caches, ו-LaunchAgents.
בעיות System-Wide (כל המשתמשים):
- החקירה עוברת לרמת המערכת.
- חומרי צד-שלישי: חפשו ב-/Library.
- חומרי מערכת: חפשו ב-/System/Library (אם כי מוגן לחלוטין על ידי ה-SSV).
ניהול חשבונות מתקדם (CLI):
- השתמשו בפקודת dscl לאימות הגדרות בספרייה המקומית.
אבחון חומרה במקרי קצה (מול תוכנה):
- הפעילו Apple Diagnostics.
- כניסה: לחיצה ארוכה על לחצן ההפעלה באתחול (Apple Silicon) או Command+D (Intel).

2. כוחו של ה-Safe Mode¶

מטרת השיעור (Objective): הבנת מנגנון ה-Safe Mode ככלי דיאגנוסטי ואוטומטי לניקוי קבצי מטמון ותיקון תקלות מערכת שקופות.
תסריט שיחה (Discussion - Script):
"ה-Safe Mode הוא כלי דיאגנוסטיקה עוצמתי במק."
הבדל מרכזי מ-Windows:
- ב-macOS, המערכת מבצעת תחזוקה אקטיבית, לא רק מעלה סביבה 'נקייה'.
3 פעולות עיקריות ב-Safe Mode:
1. בדיקה ותיקון של מערכת הקבצים על הדיסק (fsck_apfs).
2. מחיקת קבצי מטמון (Caches של פונטים, קרנל ו-dyld).
3. חסימת עליית שירותים חיצוניים (LaunchDaemons, LaunchAgents, Extensions של צד-שלישי).
המבחן המעשי:
- אם הבעיה נעלמת ב-Safe Mode = יש התנגשות עם תוכנת צד-שלישי.
אפקט הריסטרט:
- לעיתים, עצם הכניסה ל-Safe Mode ואז ריסטרט רגיל מיד אחרי, פותרת תקלות בזכות הניקוי האוטומטי.
הדגמה מעשית (Demonstration):
מומלץ להציג וידאו או צילומי מסך (בגלל מגבלות שידור).
תהליך הכניסה ב-Apple Silicon:
- לחיצה ארוכה על כפתור ההפעלה מול מחשב כבוי.
- המתנה להופעת מסך ה-Startup Options.
- בחירת כונן המערכת (Macintosh HD).
- לחיצה ממושכת על מקש ה-Shift.
- לחיצה על הכפתור כשהוא משתנה ל-"Continue in Safe Mode".
סימני זיהוי ל-Safe Mode:
- כיתוב אדום "Safe Boot" בפינה הימנית העליונה ב-Menu Bar.
- איטיות גרפית קלה (האצה גרפית - Hardware Acceleration - כבויה).
Instructor Deep-Dive:

הרחבה טכנית למדריך: מה בדיוק מתרחש בקרביים של Safe Mode

חסימת הרחבות: מונע טעינת Kernel Extensions (Kexts) של צד-שלישי.
נטרול פונטים: חוסם פונטים שהותקנו עצמאית על ידי המשתמש (מ-/Library/Fonts או ~/Library/Fonts).
חסימת תהליכי רקע: מנטרל זמנית תוכנות הגנה, אנטי-וירוסים ו-Agents של MDM.
תיקון דיסק אוטומטי: מריץ fsck_apfs ברקע לבדיקה כפויה ותיקון ה-Data Volume.
ניקוי מטמון (Caches) עמוק:
- מחיקת dyld (Dynamic Loader Caches).
- מחיקת Kernel Caches ו-System Caches נוספים.
- קריטי במיוחד במקרים שבהם עדכון מערכת הותיר שאריות הגדרות לא תקינות.

3. חקירת המערכת באמצעות System Information (GUI)¶

מטרת השיעור (Objective): היכרות עם הכלי הגרפי System Information כאמצעי העיקרי לקריאת נתוני חומרה, תוכנה ורשת, ולשמירת דו"חות.
תסריט שיחה (Discussion - Script):
"כשאנחנו חוקרים תקלה, אנחנו צריכים מידע מדויק על המערכת."
דוגמאות לנתונים חשובים:
- רכיבי חומרה מותקנים.
- גרסת מערכת מריצה.
- זמן פעילות המחשב (Uptime) - כמה זמן עובד ברצף.
- התקני USB מחוברים.
הפתרון - System Information:
- כלי גרפי עשיר, מרכז את כל המידע במקום אחד בקלות.
שמירת דו"חות להסלמה:
- ניתן לשמור (Save) את כל הנתונים לקובץ אחד.
- קל להעביר לצוות Tier 2 או למהנדסי אפל להמשך חקירה.
- זו הדרך האלגנטית לאסוף דיאגנוסטיקה ללא התעסקות עם פקודות.
הדגמה מעשית (Demonstration):
לחצו על מקש Option (⌥) במקלדת, ובמקביל על תפריט ה-Apple ().
האפשרות About This Mac תשתנה ל-System Information.... לחצו עליה.
סקירת חומרה:
- נווטו לקטגוריית Hardware.
- סקרו נתונים עם הכיתה (למשל, מספר סידורי ודגם).
סקירת תוכנה וזמן פעילות:
- נווטו לקטגוריית Software.
- הראו את גרסת ה-macOS ואת ה-Time since boot (Uptime).
יצוא הדו"ח:
- בתפריט העליון, בחרו ב-File ואז Save.
- שמרו את הקובץ (פורמט .spx) על שולחן העבודה.
- הדגימו כיצד ניתן לפתוח אותו שוב מאוחר יותר או במחשב אחר.
Instructor Deep-Dive:

הרחבה טכנית למדריך: שימוש ב-CLI ופקודת system_profiler

פקודת system_profiler:
- האלטרנטיבה ל-GUI, מצוינת לסביבות אוטומטיות או דרך MDM.
רשימת הקטגוריות הזמינות:
- הריצו: system_profiler -listDataTypes.
פורמטים של פלט:
- תומך בפלט XML או JSON – פנטסטי למשיכת נתונים למערכות Inventory.
- דוגמה: system_profiler -json SPHardwareDataType.
אזהרה קריטית:
- לעולם אל תריצו system_profiler ללא ארגומנט ממוקד!
- המערכת תבצע סריקה מלאה של כל הקבצים והאפליקציות, ותתקע את הטרמינל לדקות ארוכות כדי להפיק קובץ ענק.

4. תיבול ארגוני: איך תמיכת IT מבודדת בעיה כשיש המון פרופילי MDM ברקע¶

מטרת השיעור (Objective): יישום עקרון ה-Isolation בסביבה מנוהלת ומורכבת דרך ה-System Settings, כדי להבין האם התקלה נובעת מ-macOS או מתצורות ופרופילי אבטחה של ה-MDM הארגוני.
תסריט שיחה (Discussion - Script):
"סביבה ארגונית מנוהלת מוסיפה לנו שכבת מורכבות עצומה."
מקור המורכבות: שרת ה-MDM ופרופילי התצורה (Configuration Profiles) שהוא דוחף.
האתגר המרכזי:
- לקוח מתלונן (אתר חסום / USB לא מגיב / מדפסת לא עובדת).
- האם זה באג של macOS, או פרופיל אבטחה שנועל את הפעולה?
בדיקת הפרופילים ב-System Settings:
- תחת Privacy & Security, נווטו ל-Profiles.
- ניתן לראות את כל הפרופילים שנדחפו למכשיר.
בידוד (Isolation) בסביבת MDM:
- הסירו את הפרופיל נקודתית לבדיקה (אם ה-MDM מאפשר זאת).
- לחלופין, הוציאו את המכשיר זמנית מקבוצת הניהול בשרת לטובת בדיקה.
- אפשרות נוספת: שימוש ב-Local Account כדי לעקוף פרופילים שחלים רק ברמת המשתמש (User Channel).
הדגמה מעשית (Demonstration):
פתחו System Settings.
נווטו ל-Privacy & Security ואז ל-Profiles.
הציגו את רשימת הפרופילים המותקנים (אם קיימים).
הצגת תוכן הפרופיל:
- לחצו לחיצה כפולה על אחד הפרופילים.
- הסבירו אילו הגדרות הוא אוכף (Payloads).
ניסיון הסרת הפרופיל:
- הראו את השימוש בסימן המינוס להסרה.
- ציינו כי לרוב, מטעמי אבטחה, הם מוגדרים כ-"Non-Removable".
- הסבירו שבמקרה כזה נצטרך לבצע את ההסרה/ההחרגה דרך שרת ה-MDM.
Instructor Deep-Dive:

הרחבה טכנית למדריך: טקטיקות בידוד בעולם ה-MDM וניהול מתקדם

מניעת הסרה אוטומטית:
- ב-Automated Device Enrollment (ADE) לרוב חסומה אפשרות ההסרה הידנית אפילו למשתמש Admin מקומי.
פקודות טרמינל לניהול:
- אילוץ סנכרון פרופילים: sudo profiles renew -type enrollment.
- צפייה ברשימת הפרופילים: profiles list.
- דיאגנוסטיקה ל-Kerberos SSO: בעזרת klist ו-kinit <username>.
טקטיקות עבודה ומעקפים למנהל ה-IT:
1. החרגה מצד השרת: הוספת המק הספציפי ל-Exclusion Group ב-MDM כדי "להוריד" ממנו זמנית פרופיל בעייתי (למשל חסימת USB), ואז סנכרון המכשיר.
2. קונפליקט EDR (תוכנת הגנה/אנטי-וירוס): תקלות רבות נובעות מ-EDR שהותקן דרך ה-MDM. בידוד הבעיה יתבצע על ידי הסרה זמנית של האנטי-וירוס עצמו באמצעות קוד עקיפה מנהלתי.

דלג לאותו שלב בשיעור הבא ⬅️