IP 許可リストを使うと、OpenAI API へのリクエストの送信元を、信頼できる IP アドレスまたは CIDR 範囲に限定できます。許可リストを有効にすると、OpenAI は、リストに含まれない IP アドレスからのリクエストを、有効な API キーが含まれていても拒否します。
外部への通信経路が固定されているか明確に定まっている本番ワークロードでは、保護を強化するために IP 許可リストを使用してください。許可リストが適用されるのは API リクエストのみで、platform.openai.com へのアクセスやユーザーのサインインは制限されません。
IP 許可リストの対象は、アプリケーションから OpenAI に送信するリクエストです。OpenAI 製品からご自身が管理するサービスへのリクエストを許可するには、公開されている送信元 IP アドレスの範囲を使用してください。
許可リストを有効にする前の確認事項
API を呼び出すすべてのワークロードについて、外部への通信に使用するパブリック IP アドレスまたはその範囲を特定してください。API が判定に使用するのは、OpenAI にリクエストが届いた時点での送信元 IP アドレスです。ネットワークアドレス変換（NAT）、VPN、ファイアウォール、プロキシを使用している場合は、それらを経由した後のアドレスを確認してください。
許可リストには、個別の IP アドレスと CIDR 範囲を合わせて最大 50 件まで登録できます。組織のオーナーロールには、IP 許可リストの設定を管理するために必要な Read 権限と Write 権限が含まれています。権限の詳細は、OpenAI プラットフォームでの権限管理をご覧ください。
組織全体に許可リストを適用する前に、まずは重要度の低いプロジェクトを 1 つ選んで試してください。設定のテスト中は、許可された IP アドレスからリクエストを送信できることを確認済みの経路を、いつでも使えるようにしておいてください。
プロジェクト単位の許可リストは、組織単位の許可リストより優先されます。両方のリストの登録内容が統合されることはありません。プロジェクト独自の許可リストが有効な場合はそのリストが適用され、それ以外の場合は組織の許可リストが適用されます。
IP 許可リストの設定
- 設定 > セキュリティ > IP 許可リストを開きます。
- 許可する IP アドレスまたは CIDR 範囲を追加します。たとえば、単一のアドレスを許可する場合は
203.0.113.10、範囲を指定する場合は203.0.113.0/24を入力します。 - 必要に応じて、チェックツールで特定の IP アドレスが許可リストに含まれているか確認します。
- 特定のプロジェクトまたは組織全体で許可リストを有効にします。
- 変更が反映されるまで最大 15 分待ちます。
- 利用を予定している各環境から API リクエストを送信し、アクセスできることを確認します。
組織単位の許可リストを有効にすると、独自の許可リストを有効にしていないプロジェクトの API リクエストに影響します。有効にする前に、対象となる各プロジェクトについて、本番、ステージング、CI、災害復旧の各環境から外部への通信に使用するすべての経路を確認してください。
アクセス制限の動作確認
許可されたネットワーク経路から、通常の利用を想定した API リクエストを送信します。たとえば、次のコマンドを実行します。
curl https://api.openai.com/v1/models \
-H "Authorization: Bearer $OPENAI_API_KEY"この経路では、API キーによる通常の認証と認可を通過すれば、リクエストは正常に完了します。有効な許可リストに含まれていない IP アドレスから送信すると、リクエストは失敗し、HTTP 401 とエラーコード ip_not_authorized が返されます。
リクエストがブロックされた場合の対処法
許可されるはずのリクエストが ip_not_authorized で失敗する場合は、次の点を確認してください。
- API リクエストと同じネットワーク経路を使って、ワークロードの送信元パブリック IP アドレスを確認します。ローカルの開発マシンとデプロイ済みのサービスでは、パブリック IP アドレスが異なる場合があります。
- NAT ゲートウェイ、VPN、ファイアウォール、プロキシ、クラウドプロバイダーによって送信元 IP アドレスが変わっていないか確認します。
- チェックツールを使い、IP 許可リストの設定に登録したアドレスまたは範囲に、送信元 IP アドレスが含まれているか確認します。
- 有効な許可リストが、API キーに紐づく組織またはプロジェクトに適用されているか確認します。
- 設定を変更した場合は、最大 15 分待ってから再度テストします。
IP 許可リストを使用する場合も、API キーの安全な保管、キーのローテーション、アカウントの保護が必要です。パブリック IP アドレスではなく Azure のプライベートネットワークからリクエストを送信する必要がある場合は、Private Link の利用を検討してください。Private Link は IP 許可リストによるアクセス制御と併用できません。