可以说，Apple 在推出 iPhone 和 App Store 时创造了影子 IT 现象。 突然之间，管理人员和个人用户能够完全绕过 IT 部门采购自己的业务软件和服务。 他们可以使用未连接到公司网络的设备来实现这一点，从而阻止 IT 甚至意识到影子 IT 正在他们的组织中发生。
几年后，Apple 确实介入了，提供了一个企业移动设备管理 (MDM) 平台，允许 IT 对其组织中的设备进行一定程度的控制。 但要有效，IT 仍需要与业务线经理和个人用户合作。 毕竟，用户可以选择使用未注册 MDM 的设备。
自 MDM 推出后的十年间，Apple 再次以 iCloud Private Relay 的形式制造潜在的影子 IT 噩梦。
[相关：苹果的位置在企业]
什么是 iCloud 专用中继？
iCloud Private Relay 是 iOS 15 中的一项新隐私功能（今天可用，但仍处于测试阶段），适用于拥有付费 iCloud 帐户（现在称为 iCloud+ 帐户）的用户。 它通常是一个很好的消费者隐私保护系统。
启用后，专用中继会加密所有支持的流量（目前它主要支持来自 Safari 的流量，但计划扩展到更多），包括 DNS 查询并将其转移到 Apple 的入口服务器。 入口服务器剥离用户信息，然后将请求发送到由第三方内容提供商运营的出口服务器。 出口服务器看不到有关用户或设备的任何信息； 它只看到请求来自入口服务器。 出口服务器剥离出有关入口服务器的信息并将请求转发到适当的目的地。
该目标服务器不会收到有关用户或入口服务器的信息； 它只看到来自出口服务器的请求。 然后它回复出口服务器，出口服务器将响应发送到入口服务器，就好像它是原始目的地一样。 入口服务器然后将回复发送到用户的设备。
本质上，链中的每个服务器都充当代理服务器。 由于链中没有任何一个点可以访问有关设备和目的地的信息，因此它提供了一种相当不错的消费者隐私技术。
不是VPN
专用中继和 VPN 之间进行了一些比较。 两者是完全独立的工具。
虚拟专用网络是一种用于通过 Internet 创建安全隧道的技术。 此隧道主要用于公司网络外部的设备进行连接，就好像它们位于该网络上一样。 VPN 还可用于在设备通过公共 Wi-Fi 网络连接时确保连接安全，或使其看起来好像设备在其他地方——例如从迪拜连接到美国 App Store 或 Netflix 选项，或 以避免内容阻塞系统。
VPN 确实提供隐私，但它在某种程度上是一种额外的好处。 VPN 的基本功能和目标与专用中继截然不同。
为什么 iCloud Private Relay 对企业来说是个问题
Private Relay 的问题在于它可以将连接从公司网络转移到 Apple 的入口服务器。 本地网络只能看到与 Apple 入口服务器的连接。 由于这可能包括 DNS 查询以及其他形式的流量，因此用户的活动对 IT 管理员来说完全不透明。
这给受监管行业和学校的组织带来了巨大挑战，在这些组织中，审计流量通常是一项法律要求。 即使在这些行业之外，不知道用户在做什么仍然是一个非常令人担忧的问题，尤其是当这种情况发生在公司拥有的设备上时。
值得注意的是，Private Relay 已内置到 iOS 15 中，但默认情况下未启用，尽管当服务退出测试版时这可能会改变。 另一个考虑因素是 Private Relay 仅适用于支付 iCloud+ 订阅费用的客户——尽管这包括 0.99 美元的准系统选项以获得 50GB 的存储空间。
IT 可以阻止专用中继吗？
来自 Apple 的好消息是，阻止 Private Relay 很简单。 您只需阻止网络上的入口服务器地址。 任何配置为使用专用中继的 Apple 设备将无法使用。
坏消息是用户将被告知您的网络与专用中继不兼容，并询问他们是否仍要连接。 如果他们不连接，那么您就会遇到正在使用其设备的蜂窝连接的员工，并且拒绝向您提供有关他们如何使用其设备处理公司数据的任何信息。
最佳选择：用户参与
我曾多次争辩说，影子 IT 并不是一个真正的技术问题，而是一个参与和沟通问题。 而这种情况也不例外。
您需要确保用户理解为什么他们会收到您的网络不支持专用中继的消息，并让他们知道这不会影响他们工作以外的设备。 这需要通过沟通和透明度建立信任——理想情况下，大多数 IT 部门已经在努力实现这一目标。
