直接回答
403 は通常、識別は成功したものの操作が許可されていない状態です。許可済みリソースと拒否された対象を比較します。
このガイドで解決できること
モデル、project、organization、IP、地域、機能ポリシーによる HTTP 403 を解決する。
OpenAI 互換 APIPython / Node.js SDKcurlリバースプロキシと API ゲートウェイ
01
症状
認証は成功しますが、特定のモデル、project、endpoint、地域、機能だけが 403 を返します。
同じキーでモデル一覧や基準モデルを利用できても、対象操作は拒否されます。
02
主な原因
- アカウントまたは project に対象モデル・機能の権限がない。
- organization role、予算、IP allowlist、地域、安全ポリシーが拒否している。
- 有効な認証情報が別 project または tenant に属している。
- ゲートウェイルートが上流より狭いポリシーを適用している。
03
診断手順
- 01境界を確定基準となる認証済み操作で 401 ではないことを確認します。
- 02基準を作成利用可能モデル一覧と拒否された model ID を比較します。
- 03一項目を比較project、organization、接続元 IP、地域、機能ポリシーを確認します。
- 04決定的な証拠を記録ヘッダー、UTC 時刻、request ID から拒否したレイヤーを特定します。
最小診断コマンド言語：bash
API_BASE_URL='https://<your-api-host>/v1'
curl -sS -o /tmp/models.json -w 'models=%{http_code}
' \
"$API_BASE_URL/models" \
-H "Authorization: Bearer ${API_KEY:?set API_KEY first}"
# 次に、接続ガイドの最小生成リクエストで対象モデルをテストします。
04
修正
- 01障害レイヤーを修正正式な管理画面で必要最小限の project・model・feature・接続元権限だけを付与します。
- 02必要な動作を復元現在のアカウントですでに許可されたモデルとルートを選択します。
- 03一時回避策を除去不要な権限を広げず project または tenant の紐付けを修正します。
05
検証
- 元の最小操作が意図した identity で成功する。
- 権限が必要な project・model・source に限定されている。
- 無関係な制限対象は引き続き拒否される。
- 承認、変更時刻、request ID が監査可能である。
06
機密情報の扱い
- 未承認の relay で接続元・地域ポリシーを回避しない。
- デバッグ目的で管理者権限を一括付与しない。
- 変更承認者と再確認日を記録する。
- 認証情報や非公開 payload ではなくポリシー名と request ID を共有する。
公式情報と検証範囲
本ガイドはプロトコル仕様とクライアント公式文書を根拠にしています。エラー文、再試行ヘッダー、設定項目はサービスやバージョンで変わるため、参照元を確認し、ログとリクエスト例を秘匿してから共有してください。
ドキュメントの適用範囲を見る