Blocage de l’accès aux organisations de la Plateforme API

Vous pouvez limiter l’accès depuis votre réseau à certaines organisations de la Plateforme API. Pour cela, configurez sur votre proxy ou votre service Secure Access Service Edge (SASE) une liste contenant les identifiants d’organisation autorisés.

Fonctionnement

• En-tête personnalisé pour la liste des organisations autorisées : pour indiquer quelles organisations de la Plateforme API vous souhaitez autoriser, ajoutez l’en-tête HTTP personnalisé OpenAI-Allowed-Organization-Ids à la configuration de votre réseau. Vous pouvez y indiquer un ou plusieurs identifiants d’organisation (par exemple org-…). Séparez-les par des virgules, sans espaces.
• La Plateforme API applique la liste des organisations autorisées :
  • Lorsqu’un utilisateur se connecte à la Plateforme API depuis votre réseau, OpenAI lit l’en-tête et vérifie que l’identifiant de l’organisation à laquelle l’utilisateur tente d’accéder figure dans l’en-tête OpenAI-Allowed-Organization-Ids.
  • Si l’utilisateur tente d’accéder à une organisation qui ne figure pas dans l’en-tête, OpenAI rejette automatiquement la requête et renvoie une erreur avec le code de statut 403, ce qui bloque l’accès à cette organisation. Seules les organisations répertoriées dans l’en-tête sont accessibles.

Configuration

Étape 1 – Retrouvez vos identifiants d’organisation

Pour autoriser l’accès à certaines organisations, copiez l’identifiant d’organisation de chacune d’elles. Cet identifiant figure sur la page des paramètres de l’organisation dans la Plateforme API.

• Connectez-vous à votre compte sur la Plateforme API et sélectionnez l’organisation souhaitée.
• Ouvrez la page des paramètres de l’organisation et relevez l’identifiant d’organisation (par exemple org-Tkxfm8owx4zIPaJGNDVrPs6m).

Étape 2 – Configurez l’en-tête

Configurez votre réseau pour que votre proxy ou votre service Secure Access Service Edge (SASE) envoie l’en-tête.

• Pour autoriser plusieurs organisations, saisissez les identifiants d’organisation en les séparant par des virgules, sans espaces.
• Définissez les URL ciblées :
  • Configurez votre proxy ou votre service SASE pour qu’il ajoute l’en-tête uniquement aux requêtes envoyées à https://api.openai.com/*.

Étape 3 – Vérifiez la configuration

Après avoir configuré l’en-tête, testez l’accès depuis un appareil connecté au réseau sur lequel la règle s’applique.

1. Connectez-vous à la Plateforme API avec un compte qui a accès aux deux organisations suivantes :
   • Une organisation qui figure dans la liste des organisations autorisées.
   • Une organisation qui ne figure pas dans cette liste.
2. Ouvrez l’organisation qui figure dans la liste. Vérifiez que vous pouvez y accéder.
3. Essayez d’ouvrir l’organisation qui ne figure pas dans la liste. Vérifiez que l’accès est bloqué et que l’erreur renvoyée porte le code de statut 403.
4. Si vous autorisez plusieurs organisations, vérifiez que vous pouvez accéder à chacune d’elles.

Si les résultats diffèrent de ceux attendus, vérifiez que la règle configurée sur votre proxy ou votre service SASE s’applique à l’appareil utilisé pour le test et que l’en-tête contient les bons identifiants d’organisation.

Diagnostic des erreurs d’accès

• Code de statut 403 : si un utilisateur tente d’accéder à une organisation de la Plateforme API qui n’est pas autorisée, une erreur s’affiche avec le code de statut 403. Un message indique que l’utilisateur n’est pas autorisé à accéder à cette organisation.
• Code de statut 400 : si la valeur de l’en-tête est mal formée (par exemple, si l’identifiant d’organisation est invalide), toutes les requêtes contenant cet en-tête échouent avec le code de statut 400.