排解 AccessControl 政策執行階段錯誤

您目前查看的是 Apigee Edge 說明文件。
前往 Apigee X 說明文件。info

IPDeniedAccess

錯誤代碼

accesscontrol.IPDeniedAccess

錯誤回應主體

{
    "fault": {
        "faultstring": "Access Denied for client ip : client_IP",
        "detail": {
            "errorcode": "accesscontrol.IPDeniedAccess"
        }
    }
}

錯誤訊息示例

{
    "fault": {
        "faultstring": "Access Denied for client ip : 104.132.196.83",
        "detail": {
            "errorcode": "accesscontrol.IPDeniedAccess"
        }
    }
}

原因

如果用戶端 IP 位址或任何 API 要求傳遞的 IP 位址，與存取控制政策 <MatchRule> 元素中 <SourceAddress> 元素指定的任何 IP 位址相符，且 <MatchRule> 元素的 action 屬性設為 DENY，就會發生這個錯誤。

舉例來說，假設 <SourceAddress> 定義如下：

<SourceAddress mask="32">104.132.196.83</SourceAddress>

如果上述 IP 位址與用戶端系統的 IP 位址 (由變數 proxy.client.ip 表示) 或任何在 API 要求中傳遞的 IP 位址相符，就會發生錯誤。

診斷

  1. 找出特定 API 要求的 IP 位址拒絕存取權。您可以在錯誤回應的 faultstring 元素中找到這項資訊。

    例如，在下列 faultstring 中，IP 位址為 104.132.196.83:

    "faultstring": "Access Denied for client ip : 104.132.196.83"

  2. 檢查失敗的 API Proxy 中的所有存取控管政策，並判斷特定政策中 <SourceAddress> 元素指定的 IP 位址是否與 faultstring 中指定的 IP 位址相符 (請參閱上述步驟 1)。

    例如，下列政策將 <SourceAddress> IP 定義為 104.132.196.83,，與 faultstring 中的內容相符：

    <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
    <AccessControl async="false" continueOnError="false" enabled="true" name="Access-Control">
    <DisplayName>Access-Control</DisplayName>
    <Properties/>
    <IPRules noRuleMatchAction="ALLOW">
        <MatchRule action="DENY">
            <SourceAddress mask="32">104.132.196.83</SourceAddress>
        </MatchRule>
    </IPRules>
    </AccessControl>

  3. 判斷 API 要求的來源 IP 位址。做法如下：

    1. 使用 UI 追蹤

      1. 擷取失敗的 API 要求追蹤記錄。
      2. 從右側面板選取失敗的特定存取權控管政策。

      3. 請查看變數 proxy.client.ip 的值，如以下範例追蹤記錄的螢幕截圖所示。

      4. 如果未列出 proxy.client.ip，請檢查 X-Forwarded-For 或 True-Client-IP 訊息標頭的值。

    2. 使用自訂報表

      您可以建立自訂報表，判斷在執行 API 代理程式中的存取權控管政策時，是否會擲回 403 狀態碼，並判斷用戶端 IP 位址。如果問題曾經發生過，或是問題是間歇性的，而您無法在 UI 中擷取追蹤記錄，這項功能就特別實用。

      如要瞭解如何建立自訂報表，請參閱「建立及管理自訂報表」。在自訂報表中，請選擇：

      1. 流量總和做為指標，以及

      2. Proxy、回應狀態碼、Proxy 用戶端 IP 和 X-Forwarded-For 的維度。

      這應該有助於您判斷傳遞的用戶端 IP 或 IP 位址導致錯誤。

  4. 如果用戶端 IP 位址 (以 proxy.client.ip 變數指定) 或任何做為 API 要求的一部分傳遞的 IP 位址，皆與存取控制政策的 <MatchRule> 元素中 <SourceAddress> 元素中指定的 IP 位址相符(其中 action 屬性設為 DENY)，這是導致錯誤的原因。

    在上述範例中，參照變數 proxy.client.ip 中設定的值 (如上方追蹤記錄的螢幕截圖所示) 與存取控管政策的 <SourceAddress> 元素中定義的 IP 位址相符，因而觸發錯誤回應：

    "faultstring": "Access Denied for client ip : 104.132.196.83"

解析度

如果存取控制政策旨在拒絕來自 faultstring 中列出的特定 IP 位址的 API 要求，則會顯示錯誤訊息。在這種情況下，您不需要採取其他行動。

不過，如果您確定可以將特定 IP 位址授予特定 API Proxy 的 API 要求存取權，請修改存取控制政策以允許存取這些 IP 位址。如果您不想拒絕任何 IP 位址的存取權，也可以從 API Proxy 中移除存取權控管政策。

以下範例說明如何只允許存取特定 IP 位址 104.132.196.83，並拒絕其餘部分的存取權：

<AccessControl name="ACL">
  <IPRules noRuleMatchAction = "DENY">
    <MatchRule action = "ALLOW">
      <SourceAddress mask="32">104.132.196.83</SourceAddress>
    </MatchRule>
  </IPRules>
</AccessControl>