Mit einer IP-Zulassungsliste kannst du Anfragen an die OpenAI API auf IP-Adressen oder CIDR-Bereiche beschränken, denen du vertraust. Wenn du eine Zulassungsliste aktivierst, lehnt OpenAI Anfragen von anderen IP-Adressen ab, selbst wenn sie einen gültigen API-Schlüssel enthalten.
Verwende eine IP-Zulassungsliste als zusätzliche Schutzmaßnahme für Workloads im Produktivbetrieb mit festen oder klar definierten Netzwerkausgängen. Sie gilt nur für API-Anfragen und schränkt weder den Zugriff auf platform.openai.com noch die Anmeldung ein.
IP-Zulassungslisten kontrollieren Anfragen, die deine Anwendungen an OpenAI senden. Wenn du Anfragen zulassen musst, die OpenAI-Produkte an von dir verwaltete Dienste senden, verwende stattdessen die veröffentlichten IP-Adressbereiche für ausgehenden Datenverkehr.
Bevor du eine Zulassungsliste aktivierst
Ermittle für jeden Workload, der die API aufruft, die öffentliche IP-Adresse oder den öffentlichen IP-Adressbereich für ausgehenden Datenverkehr. Prüfe die Adresse nach einer etwaigen Netzwerkadressübersetzung (NAT) und nach dem Durchlaufen von VPN, Firewall oder Proxy, da die API die Quell-IP-Adresse auswertet, die bei OpenAI ankommt.
Eine Zulassungsliste kann bis zu 50 einzelne IP-Adressen oder CIDR-Bereiche enthalten. Die Rolle für die Organisationsinhaberschaft umfasst die Berechtigungen Read und Write, die zum Verwalten der Einstellungen für IP-Zulassungslisten erforderlich sind. Weitere Informationen zu Berechtigungen findest du unter Berechtigungen auf der OpenAI-Plattform verwalten.
Beginne mit einem unkritischen Projekt, bevor du eine Zulassungsliste für deine gesamte Organisation anwendest. Halte während der Konfigurationstests einen getesteten Anfragepfad von einer zugelassenen IP-Adresse aus verfügbar.
Zulassungslisten auf Projektebene haben Vorrang vor Zulassungslisten auf Organisationsebene. Die Einträge werden nicht zusammengeführt: Ein Projekt mit einer eigenen aktiven Zulassungsliste verwendet diese Liste. Ein Projekt ohne eigene aktive Zulassungsliste verwendet die Zulassungsliste auf Organisationsebene.
Eine IP-Zulassungsliste konfigurieren
- Öffne Einstellungen > Sicherheit > IP-Zulassungsliste.
- Füge die einzelnen IP-Adressen oder CIDR-Bereiche hinzu, die du zulassen möchtest. Verwende beispielsweise
203.0.113.10für eine einzelne Adresse oder203.0.113.0/24für einen Bereich. - Optional kannst du mit dem Tool Prüfen bestätigen, dass die Zulassungsliste eine bestimmte IP-Adresse enthält.
- Aktiviere die Zulassungsliste für ein bestimmtes Projekt oder für deine gesamte Organisation.
- Warte bis zu 15 Minuten, bis die Änderung wirksam wird.
- Sende API-Anfragen aus jeder vorgesehenen Umgebung, um den Zugriff zu überprüfen.
Wenn du eine Zulassungsliste auf Organisationsebene aktivierst, wirkt sich das auf API-Anfragen für Projekte aus, die keine eigene aktive Zulassungsliste haben. Überprüfe vor der Aktivierung in jedem betroffenen Bereich alle ausgehenden Netzwerkpfade für Produktivbetrieb, Staging, CI und Notfallwiederherstellung.
Durchsetzung überprüfen
Sende über einen zugelassenen Netzwerkpfad eine repräsentative API-Anfrage. Zum Beispiel:
curl https://api.openai.com/v1/models \
-H "Authorization: Bearer $OPENAI_API_KEY"Die Anfrage sollte entsprechend der üblichen Authentifizierung und Autorisierung des API-Schlüssels abgeschlossen werden. Von einer IP-Adresse aus, die nicht in der aktiven Zulassungsliste enthalten ist, schlägt die Anfrage mit HTTP 401 und dem Fehlercode ip_not_authorized fehl.
Probleme mit blockierten Anfragen beheben
Wenn eine erwartete Anfrage mit ip_not_authorized fehlschlägt:
- Überprüfe die öffentliche IP-Adresse für den ausgehenden Datenverkehr des Workloads über denselben Netzwerkpfad, über den die API-Anfrage gesendet wird. Ein lokaler Entwicklungsrechner kann eine andere öffentliche IP-Adresse haben als ein bereitgestellter Dienst.
- Prüfe, ob ein NAT-Gateway, ein VPN, eine Firewall, ein Proxy oder ein Cloud-Anbieter die Adresse für den ausgehenden Datenverkehr geändert hat.
- Verwende das Tool Prüfen in den Einstellungen für die IP-Zulassungsliste, um die Adresse mit den konfigurierten Einträgen abzugleichen.
- Vergewissere dich, dass die aktive Zulassungsliste für die Organisation oder das Projekt gilt, dem der API-Schlüssel zugeordnet ist.
- Warte nach einer Konfigurationsänderung bis zu 15 Minuten und teste dann erneut.
Eine IP-Zulassungsliste ersetzt weder die sichere Speicherung und Rotation von API-Schlüsseln noch die Kontosicherheit. Wenn eine Anfrage aus einem privaten Azure-Netzwerk statt von einer öffentlichen IP-Adresse stammen muss, ziehe Private Link in Betracht. Private Link ist nicht mit Zugriffskontrollen über IP-Zulassungslisten kompatibel.