OpenAI IP 允许列表

IP 允许列表将 OpenAI API 请求限制为来自可信 IP 地址或 CIDR 网段的请求。启用后，其他地址即使携带有效 API 密钥，也会被拒绝。

它适合出站网络固定或范围明确的生产工作负载，作为额外保护层。只作用于 API 请求，不限制 platform.openai.com 的访问或用户登录。它控制应用发往 OpenAI 的请求；若需允许 OpenAI 产品访问自己的服务，应使用出站 IP 范围。

启用允许列表前

确定每个 API 工作负载经过 NAT、VPN、防火墙或代理之后的公网出口地址。接口检查的是最终到达 OpenAI 的来源 IP。

每份列表最多包含 50 个单独 IP 或 CIDR 范围。组织所有者拥有管理列表所需的 Read、Write 权限；参见权限管理。

先在非关键项目试用，再应用于整个组织。测试时保留一条已验证、来自允许 IP 的请求路径。项目级列表优先于组织级列表，条目不会合并：有自己的活动列表则使用项目列表，否则使用组织列表。

配置 IP 允许列表

打开 Settings > Security > IP allowlist。
添加地址或 CIDR，例如 203.0.113.10、203.0.113.0/24。
可用 Check 工具确认某个地址是否包含在内。
为指定项目或整个组织启用。
等待变更生效，最长可能 15 分钟。
从各预期环境发送 API 请求验证访问。

组织级启用会影响没有自己的活动列表的项目。启用前，确认相关范围内生产、预发布、CI 和灾难恢复的全部出口路径。

验证执行效果

从允许网络发送有代表性的请求：

来源示例 1（bash）：

## [中文] 从预期网络出口测试请求；未命中活动允许列表时为401/ip_not_authorized，项目列表不与组织列表合并。
curl https://api.openai.com/v1/models \
  -H "Authorization: Bearer $OPENAI_API_KEY"

请求应按密钥正常的身份验证与授权规则完成。从活动列表未包含的 IP 请求时，返回 HTTP 401，错误代码 ip_not_authorized。

排查被阻止的请求

预期请求遇到 ip_not_authorized 时：

从发送请求的同一网络路径确认公网出口；本地开发机与部署服务可能不同。
检查 NAT 网关、VPN、防火墙、代理或云提供商是否改变出口。
用列表设置的 Check 工具检查地址。
确认活动列表适用于密钥所属组织或项目。
配置变化后最多等待 15 分钟再测。

允许列表不能替代安全保存、轮换密钥及账户保护。必须使用 Azure 私有网络时，可考虑 Private Link，但它与 IP 允许列表不兼容。