API 組織へのアクセス制限

API 組織へのアクセス制限を使うと、ネットワーク内のユーザーがアクセスできる API 組織を指定できます。プロキシまたはセキュアアクセスサービスエッジ（SASE）サービスで、組織 ID の許可リストを設定します。

仕組み

• 許可リスト用のカスタムヘッダー： ネットワーク設定にカスタム HTTP ヘッダー OpenAI-Allowed-Organization-Ids を追加し、アクセスを許可する API 組織を指定します。ヘッダーには 1 つ以上の組織 ID（例：org-…）を指定できます。複数指定する場合は、スペースを入れずにカンマで区切ります。
• API プラットフォームによる許可リストの適用：
  • ユーザーがネットワーク内から API プラットフォームにログインすると、OpenAI はヘッダーを読み取り、アクセス先の API 組織の ID が OpenAI-Allowed-Organization-Ids ヘッダーに含まれているかを確認します。
  • ヘッダーに記載されていない組織にユーザーがアクセスしようとすると、OpenAI はリクエストを自動的に拒否し、ステータスコード 403 のエラーを返します。アクセスできるのは、ヘッダーに記載された組織だけです。

設定手順

ステップ 1：組織 ID の確認

アクセスを許可する組織ごとに、組織 ID をコピーします。組織 ID は API プラットフォームの組織設定ページで確認できます。

• API プラットフォームのアカウントにログインし、対象の組織に切り替えます。
• 組織設定ページを開き、組織 ID（例：org-Tkxfm8owx4zIPaJGNDVrPs6m）を控えます。

ステップ 2：ヘッダーの設定

プロキシまたはセキュアアクセスサービスエッジ（SASE）サービスを通じてヘッダーを送信するように、ネットワークを設定します。

• 複数の組織へのアクセスを許可する場合は、各組織の ID をカンマで区切り、スペースを入れずに入力します。
• 対象 URL の指定：
  • https://api.openai.com/* 宛てのリクエストにのみヘッダーを付与するように、プロキシまたは SASE サービスを設定します。

ステップ 3：設定の検証

ヘッダーを設定したら、ルールが適用されるネットワークに接続したデバイスからアクセスをテストします。

1. 次の両方の組織にアクセスできるアカウントで、API プラットフォームにログインします。
   • 許可リストに含まれる組織
   • 許可リストに含まれない組織
2. 許可リストに含まれる組織を開き、アクセスできることを確認します。
3. 許可リストに含まれない組織を開いてみます。アクセスがブロックされ、エラーのステータスコードが 403 であることを確認します。
4. 複数の組織へのアクセスを許可した場合は、それぞれの組織にアクセスできることを確認します。

結果が想定と異なる場合は、テストに使用したデバイスにプロキシまたは SASE のルールが適用されているか、ヘッダーに正しい組織 ID が含まれているかを確認してください。

アクセスエラーのトラブルシューティング

• ステータスコード 403： ユーザーが許可されていない API 組織にアクセスしようとすると、エラーが表示されます。エラーのステータスコードは 403 で、その組織へのアクセス権限がないことを示すメッセージが表示されます。
• ステータスコード 400： 組織 ID が無効であるなど、ヘッダーの値の形式が正しくない場合、そのヘッダーを含むすべてのリクエストが失敗し、ステータスコード 400 のエラーが返されます。