Com uma lista de IPs permitidos, você pode restringir as solicitações à API da OpenAI àquelas que vêm de endereços IP ou blocos CIDR confiáveis. Quando você ativa a lista, a OpenAI rejeita solicitações de outros endereços IP, mesmo que incluam uma chave de API válida.
Use uma lista de IPs permitidos como camada adicional de proteção para cargas de trabalho em produção com endereços de saída de rede fixos ou bem definidos. A lista se aplica apenas às solicitações à API. Ela não restringe o acesso a platform.openai.com nem o login dos usuários.
A lista de IPs permitidos controla as solicitações que seus aplicativos enviam à OpenAI. Se você precisar permitir solicitações que os produtos da OpenAI enviam a serviços sob seu controle, use os intervalos de IP de saída publicados pela OpenAI.
Antes de ativar uma lista de IPs permitidos
Identifique o endereço IP público de saída ou o intervalo de endereços de cada carga de trabalho que faz chamadas à API. Verifique qual é o endereço depois que o tráfego passa por qualquer tradução de endereços de rede (NAT), VPN, firewall ou proxy, pois a API avalia o IP de origem que chega à OpenAI.
Uma lista pode conter até 50 entradas, entre endereços IP individuais e blocos CIDR. A função de proprietário da organização inclui as permissões Read e Write, necessárias para gerenciar as configurações da lista de IPs permitidos. Para saber mais sobre permissões, consulte Gerenciar permissões na plataforma da OpenAI.
Comece com um único projeto não crítico antes de aplicar a lista a toda a organização. Durante os testes de configuração, mantenha disponível um caminho de rede já testado para enviar solicitações a partir de um IP permitido.
A lista de IPs permitidos do projeto tem prioridade sobre a da organização. As entradas das duas listas não se somam. Um projeto com uma lista própria ativa usa essa lista. Um projeto sem lista própria ativa usa a da organização.
Configurar uma lista de IPs permitidos
- Acesse Configurações > Segurança > Lista de IPs permitidos.
- Adicione os endereços IP individuais ou blocos CIDR que deseja permitir. Por exemplo, use
203.0.113.10para um único endereço ou203.0.113.0/24para um intervalo. - Se quiser, use a ferramenta Verificar para confirmar se a lista inclui determinado endereço IP.
- Ative a lista para um projeto específico ou para toda a organização.
- Aguarde até 15 minutos para que a alteração entre em vigor.
- Para verificar o acesso, envie solicitações à API a partir de cada ambiente que precisa acessá-la.
Ativar a lista de IPs permitidos da organização afeta as solicitações à API dos projetos que não têm uma lista própria ativa. Antes de ativá-la, confirme todos os caminhos de saída de rede usados para produção, homologação, integração contínua (CI) e recuperação de desastres em cada projeto afetado.
Verificar se a restrição está em vigor
Por um caminho de rede permitido, envie uma solicitação típica à API. Por exemplo:
curl https://api.openai.com/v1/models \
-H "Authorization: Bearer $OPENAI_API_KEY"A solicitação deve ser processada de acordo com as regras habituais de autenticação e autorização da chave de API. Se o endereço IP de origem não estiver na lista ativa, a solicitação falhará com o status HTTP 401 e o código de erro ip_not_authorized.
Diagnosticar solicitações bloqueadas
Se uma solicitação que deveria ser permitida falhar com ip_not_authorized:
- Confirme o IP público de saída da carga de trabalho usando o mesmo caminho de rede pelo qual ela envia a solicitação à API. Uma máquina de desenvolvimento local pode ter um IP público diferente do IP de um serviço já implantado.
- Verifique se um gateway NAT, uma VPN, um firewall, um proxy ou o provedor de nuvem alterou o endereço de saída.
- Use a ferramenta Verificar nas configurações da lista de IPs permitidos para conferir se alguma das entradas configuradas inclui o endereço.
- Confirme se a lista ativa se aplica à organização ou ao projeto associado à chave de API.
- Após alterar a configuração, aguarde até 15 minutos e teste novamente.
A lista de IPs permitidos não substitui o armazenamento seguro das chaves de API, a rotação de chaves nem as medidas de segurança da conta. Se uma solicitação precisar partir de uma rede privada do Azure em vez de um IP público, considere usar o Private Link. O Private Link é incompatível com os controles da lista de IPs permitidos.