Claude Platform Docs
管理驗證

IP 允許清單

將存取權限限制為您信任的特定 IP 位址，以保護您的組織。

「IP allowlisting」（IP 允許清單）僅允許涵蓋請求來自特定 IP 範圍，藉此保護您的組織。這表示如果 API 金鑰外洩，攻擊者將更難使用該金鑰。這可以防止資料外洩，並降低因濫用而被收費的可能性。

允許清單限制的是金鑰可在何處使用，但不限制可使用多久。您也應該設定較短的金鑰到期時間，或改用 Workload Identity Federation 以停止使用靜態金鑰。這比單獨使用允許清單更安全。

運作方式

組織管理員或擁有者會在設定中建立 IP 範圍清單。此範圍清單涵蓋您的整個組織。對於每個涵蓋的請求，Anthropic 會將請求的公用 IP 位址與您的清單進行比對，若不在允許範圍內則會拒絕該請求。

  • 從清單以外的位址向涵蓋的端點發出的 API 請求會被拒絕。例如，Messages API 會傳回 403 permission_error，並附帶訊息 Your IP address isn't in this organization's allowed range.
  • 從不允許的位址連線的使用者會看到標題為 Your current network can’t access this organization 的頁面。組織管理員也會被封鎖，但您可以選擇為管理員保留返回的途徑以避免被鎖在外面，在此情況下，他們只能存取允許清單設定。

Claude Platform 組織

允許清單的適用範圍

另請參閱限制。

Claude Enterprise 組織

Claude Enterprise 組織擁有自己的 IP 允許清單，僅允許從特定 IP 範圍存取其涵蓋的應用程式。這表示如果使用者的登入資訊遭竊，攻擊者將更難使用它。此清單涵蓋您的整個組織，包括擁有者。擁有者和主要擁有者可以設定此清單。在您開啟允許清單之前，請閱讀避免將自己鎖在外面。

允許清單涵蓋的應用程式

位於清單以外的使用者將無法在以下應用程式中存取您的組織：

  • 瀏覽器中的 Claude、桌面應用程式和行動應用程式
  • Claude Code（當使用者使用其 Claude 帳戶登入時）
  • Claude in Chrome、Office 增益集、Cowork 和 Remote Tools

這包括這些應用程式中的連接器和 artifacts，但使用者分享至組織外部的 artifacts 除外。關於 Claude Science，請參閱 Claude Science 管理控制項中的 Identity and access。

允許清單也涵蓋 Admin API 和 Compliance API，使用僅涵蓋此組織的金鑰時適用。

另請參閱限制。

使用者可預期的情況

在網頁和桌面應用程式中，被封鎖的使用者會看到標題為 Your current network can’t access this organization 的頁面。擁有者也會被封鎖，但您可以選擇為擁有者保留返回的途徑以避免被鎖在外面，在此情況下，他們只能存取允許清單設定。在 Claude Code 中，被封鎖的使用者會看到 403 API 錯誤，並附帶訊息 Your IP address isn't in this organization's allowed range.

  • 其他帳戶：被封鎖的使用者仍可登入並使用其他組織或個人帳戶。
  • 遠端使用者：使用行動數據的手機、家用 Wi-Fi，以及未連上 VPN 的筆記型電腦都會被封鎖，直到它們透過已列出的網路連線為止。
  • 代理伺服器：部分功能會透過 bridge.claudeusercontent.com 連線：Claude in Chrome、Cowork、Remote Tools 以及 Office 增益集中的跨應用程式工作。如果您的代理伺服器透過與 claude.ai 和 api.anthropic.com 不同的位址將該主機的流量送出，也請列出該位址。

限制

開啟允許清單

  1. 開啟切換開關

    前往您組織的設定頁面：

    開啟 IP allowlist 切換開關。在您儲存之前不會有任何變更。

  2. 新增您的範圍並儲存

    點擊 Add entry（Claude Console）或 Add IP range（claude.ai），輸入一個或多個位址或範圍（以逗號分隔），然後按 Enter。列出您的伺服器、CI 和使用者連線時所使用的每個網路，包括您目前連線所用的網路。Anthropic 建議確認已勾選 Allow admins to access this settings page from any IP address（Claude Console）或 Allow owners to access this settings page from any IP address（claude.ai）核取方塊，以避免被鎖在外面。接著點擊 Save 並確認。

  3. 檢查您的流量

    變更最多可能需要 15 分鐘才會生效。請留意您的應用程式是否出現 403 permission_error 回應，包括僅每日或每週執行的作業，並新增任何遺漏的位址。在 Claude Enterprise 組織中，請各網路上的使用者確認他們仍能開啟 Claude。在此類組織中，變更套用至已開啟的連線、Office 增益集和 Remote Tools 可能需要更久時間。

項目格式

  • 格式：您可以將 IPv4 或 IPv6 位址加入允許清單。每個項目可為單一位址（203.0.113.5）或 CIDR 範圍（203.0.113.0/24、2001:db8::/32），IPv4 不得比 /8 更廣，IPv6 不得比 /32 更廣。清單最多可容納 1,000 個項目。
  • 僅限公用位址：請列出您的流量離開網路時所使用的位址，而不是私有範圍，例如 10.0.0.0/8。如果您新增共用代理伺服器的位址，請注意，持有外洩金鑰或遭竊登入資訊的攻擊者可能會透過該代理伺服器使用它。

避免將自己鎖在外面

當您儲存時，設定頁面會將您目前的位址與清單比對，以確保您不會把自己鎖在外面。但它不會檢查您的伺服器、您的團隊成員，或您明天連線時可能使用的位址。

  • 務必先列出每個網路：包括資料中心、CI 系統、辦公室、VPN、代理伺服器，以及任何自行託管沙箱的 worker，並包含其公用 IPv4 和 IPv6 位址。請注意，家用和行動網路位址經常可能在未經通知的情況下變更。
  • 保留返回的途徑：Anthropic 建議勾選 Allow admins to access this settings page from any IP address（Claude Console）或 Allow owners to access this settings page from any IP address（claude.ai）核取方塊。如此一來，管理員（在 claude.ai 中為擁有者）可以從任何地方修正清單。缺點是，如果管理員或擁有者的工作階段遭到入侵，攻擊者可能從遠端位置更新允許清單。如果您為組織設定 Compliance API，其 Activity Feed 會記錄允許清單的變更，讓您可以進行稽核。

如果您被鎖在外面

在 Claude Enterprise 組織中，管理員無法變更清單，因此這些步驟中的「管理員或擁有者」是指擁有者或主要擁有者。

  1. 從已列出的網路重新連線：連線到您的辦公室網路或 VPN，然後點擊 Try again。如果沒有 Try again 按鈕，請重新載入頁面。
  2. 請其他管理員或擁有者協助：位於已列出網路上的管理員或擁有者可以新增您的位址。
  3. 從您目前的位置修正清單：如果您是管理員或擁有者，且已勾選保留返回的途徑中所述的核取方塊，請在瀏覽器中開啟 Claude Console 或 Claude 並點擊 Open IP allowlist，或前往 Identity and access 頁面（在 claude.ai 中為 Organization and access）。點擊 Add it 以新增您目前的位址，或關閉允許清單，然後點擊 Save 並確認。存取權限最多可能需要 15 分鐘才會恢復。
  4. 聯絡 Anthropic：如果沒有任何管理員或擁有者能存取該頁面，請聯絡 Anthropic 支援以關閉允許清單。

這個頁面有幫助嗎？