Une liste d’adresses IP autorisées vous permet de limiter les requêtes à l’API OpenAI à celles qui proviennent d’adresses IP ou de plages CIDR de confiance. Lorsque vous activez une liste, OpenAI rejette les requêtes provenant d’autres adresses IP, même si elles contiennent une clé API valide.
Utilisez une liste d’adresses IP autorisées pour mieux protéger les charges de travail en production dont les adresses IP de sortie sont fixes ou bien définies. La liste s’applique uniquement aux requêtes à l’API. Elle ne restreint ni l’accès à platform.openai.com ni la connexion des utilisateurs à leur compte.
La liste d’adresses IP autorisées contrôle les requêtes que vos applications envoient à OpenAI. Pour autoriser les requêtes que les produits OpenAI envoient aux services que vous gérez, utilisez les plages d’adresses IP de sortie publiées par OpenAI.
Avant d’activer une liste d’adresses IP autorisées
Identifiez l’adresse IP publique de sortie ou la plage d’adresses de chaque charge de travail qui appelle l’API. Vérifiez l’adresse après toute traduction d’adresses réseau (NAT) ou tout passage par un VPN, un pare-feu ou un proxy, car l’API évalue l’adresse IP source que reçoit OpenAI.
Une liste peut contenir jusqu’à 50 entrées, chacune correspondant à une adresse IP individuelle ou à une plage CIDR. Le rôle de propriétaire de l’organisation inclut les autorisations Read et Write nécessaires pour gérer les paramètres de la liste. Pour en savoir plus, consultez Gérer les autorisations sur la plateforme OpenAI.
Commencez par un seul projet non critique avant d’appliquer une liste à toute votre organisation. Pendant les tests de configuration, gardez à disposition un chemin réseau déjà testé qui vous permet d’envoyer des requêtes depuis une adresse IP autorisée.
Les listes définies au niveau du projet ont priorité sur celles de l’organisation. Leurs entrées ne se cumulent pas. Si un projet dispose de sa propre liste active, c’est elle qui s’applique. Sinon, le projet utilise la liste de l’organisation.
Configurer une liste d’adresses IP autorisées
- Ouvrez Paramètres > Sécurité > Liste d’adresses IP autorisées.
- Ajoutez les adresses IP individuelles ou les plages CIDR que vous souhaitez autoriser. Par exemple, utilisez
203.0.113.10pour une adresse ou203.0.113.0/24pour une plage. - Si vous le souhaitez, utilisez l’outil Vérifier pour confirmer qu’une adresse IP donnée figure dans la liste ou dans l’une de ses plages.
- Activez la liste pour un projet précis ou pour toute votre organisation.
- Prévoyez jusqu’à 15 minutes pour que la modification prenne effet.
- Envoyez des requêtes à l’API depuis chaque environnement qui doit y avoir accès pour vérifier que l’accès fonctionne.
L’activation d’une liste au niveau de l’organisation affecte les requêtes à l’API des projets qui n’ont pas leur propre liste active. Avant de l’activer, vérifiez tous les chemins de sortie utilisés pour la production, la préproduction, l’intégration continue et la reprise après sinistre dans chaque projet concerné.
Vérifier l’application de la liste
Depuis un chemin réseau autorisé, envoyez une requête représentative à l’API. Par exemple :
curl https://api.openai.com/v1/models \
-H "Authorization: Bearer $OPENAI_API_KEY"La requête devrait aboutir si la clé API satisfait aux conditions habituelles d’authentification et d’autorisation. Si l’adresse IP source n’est pas autorisée par la liste active, la requête échoue avec le statut HTTP 401 et le code d’erreur ip_not_authorized.
Diagnostiquer les requêtes bloquées
Si une requête qui devrait être autorisée échoue avec le code ip_not_authorized :
- Vérifiez l’adresse IP publique de sortie de la charge de travail en empruntant le même chemin réseau que la requête à l’API. Une machine de développement locale peut avoir une adresse IP publique différente de celle d’un service déployé.
- Vérifiez si une passerelle NAT, un VPN, un pare-feu, un proxy ou votre fournisseur de services cloud a modifié l’adresse de sortie.
- Utilisez l’outil Vérifier dans les paramètres de la liste d’adresses IP autorisées pour vérifier que l’adresse correspond à l’une des entrées configurées.
- Vérifiez que la liste active s’applique à l’organisation ou au projet associé à la clé API.
- Après une modification de la configuration, attendez jusqu’à 15 minutes, puis refaites le test.
Une liste d’adresses IP autorisées ne remplace ni le stockage sécurisé des clés API, ni leur rotation, ni les mesures de sécurité du compte. Si une requête doit provenir d’un réseau Azure privé plutôt que d’une adresse IP publique, envisagez d’utiliser Private Link. Private Link est incompatible avec le contrôle d’accès par liste d’adresses IP autorisées.