IP 許可リストを使用すると、OpenAI API リクエストを、信頼できる IP アドレスまたは CIDR 範囲からのリクエストに制限できます。許可リストを有効にすると、それ以外の IP アドレスからのリクエストは、有効な API キーが含まれていても OpenAI によって拒否されます。
ネットワークの送信元が固定されているか明確に定義されている本番ワークロードでは、保護を強化するために IP 許可リストを使用してください。適用対象は API リクエストのみで、platform.openai.com へのアクセスやユーザーのサインインは制限されません。
IP 許可リストは、アプリケーションから OpenAI に送信するリクエストを制御します。 OpenAI 製品から自分が管理するサービスに送信されるリクエストを許可する必要がある場合は、 代わりに、公開されている送信元 IP アドレスの範囲を使用してください。
許可リストの有効化前の確認事項
API を呼び出すすべてのワークロードについて、送信元のパブリック IP アドレスまたはその範囲を特定してください。API は OpenAI に到達した時点の送信元 IP アドレスを評価するため、ネットワークアドレス変換（NAT）、VPN、ファイアウォール、プロキシを経由した後のアドレスを確認してください。
許可リストには、個別の IP アドレスまたは CIDR 範囲を最大 50 件登録できます。組織オーナーのロールには、IP 許可リストの設定を管理するために必要な Read 権限と Write 権限が含まれています。権限の詳細については、OpenAI プラットフォームでの権限管理を参照してください。
組織全体に許可リストを適用する前に、重要度の低いプロジェクトを 1 つ選んで試してください。設定のテスト中は、許可された IP アドレスからの、動作確認済みのリクエスト経路を利用できる状態にしておいてください。
プロジェクトレベルの許可リストは、組織レベルの許可リストより優先されます。両方のエントリが統合されることはありません。独自の許可リストが有効になっているプロジェクトにはその許可リストが使用され、それ以外のプロジェクトには組織レベルの許可リストが使用されます。
IP 許可リストの設定
- 設定 > セキュリティ > IP 許可リストを開きます。
- 許可する個別の IP アドレスまたは CIDR 範囲を追加します。たとえば、単一のアドレスには
203.0.113.10、範囲には203.0.113.0/24を使用します。 - 必要に応じて、 確認 ツールを使用し、特定の IP アドレスが許可リストに含まれていることを確認します。
- 特定のプロジェクトまたは組織全体に対して許可リストを有効にします。
- 変更が反映されるまで、最大 15 分待ちます。
- 利用を想定している各環境から API リクエストを送信し、アクセスできることを確認します。
組織レベルの許可リストを有効にすると、独自の許可リストが有効になっていないプロジェクトの API リクエストに影響します。有効にする前に、影響を受ける各範囲について、本番環境、ステージング環境、CI、災害復旧で使用するすべての送信経路を確認してください。
アクセス制限の動作確認
許可されたネットワーク経路から、代表的な API リクエストを送信します。次に例を示します。
curl https://api.openai.com/v1/models \
-H "Authorization: Bearer $OPENAI_API_KEY"リクエストは、API キーの通常の認証と認可に従って完了するはずです。有効な許可リストに含まれていない IP アドレスから送信すると、リクエストは失敗し、HTTP 401 とエラーコード ip_not_authorized が返されます。
ブロックされたリクエストのトラブルシューティング
許可されるはずのリクエストが ip_not_authorized で失敗する場合は、次の点を確認してください。
- API リクエストの送信に使うものと同じネットワーク経路から、ワークロードの送信元パブリック IP アドレスを確認してください。ローカルの開発マシンとデプロイ済みのサービスでは、パブリック IP アドレスが異なる場合があります。
- NAT ゲートウェイ、VPN、ファイアウォール、プロキシ、クラウドプロバイダーによって送信元アドレスが変わっていないか確認してください。
- IP 許可リストの設定にある 確認 ツールを使用して、アドレスを設定済みのエントリと照合してください。
- 有効な許可リストが、API キーに関連付けられている組織またはプロジェクトに適用されていることを確認してください。
- 設定を変更した後、最大 15 分待ってから再度テストしてください。
IP 許可リストは、API キーの安全な保管、キーのローテーション、アカウントのセキュリティ対策に代わるものではありません。パブリック IP アドレスではなく、プライベートな Azure ネットワークからリクエストを送信する必要がある場合は、Private Link を検討してください。ただし、Private Link は IP 許可リストによる制御と併用できません。