排解 AccessControl 政策執行階段錯誤

查看 Apigee Edge 說明文件。
前往 Apigee X說明文件。 資訊

IPDeniedAccess

錯誤代碼

accesscontrol.IPDeniedAccess

錯誤回應主體

{
    "fault": {
        "faultstring": "Access Denied for client ip : client_IP",
        "detail": {
            "errorcode": "accesscontrol.IPDeniedAccess"
        }
    }
}

錯誤訊息示例

{
    "fault": {
        "faultstring": "Access Denied for client ip : 104.132.196.83",
        "detail": {
            "errorcode": "accesscontrol.IPDeniedAccess"
        }
    }
}

原因

如果用戶端 IP 位址或任何做為 API 要求的一部分傳遞的 IP 位址，皆與存取控制政策 <MatchRule> 元素中 <SourceAddress> 元素中指定的任何 IP 位址相符，且 <MatchRule> 元素的 action 屬性設為 DENY，就會發生這個錯誤。

舉例來說，假設 <SourceAddress> 定義如下：

<SourceAddress mask="32">104.132.196.83</SourceAddress>

如果上述的 IP 位址與用戶端系統的 IP 位址 (以 proxy.client.ip 變數表示) 或任何作為 API 要求一部分的 IP 位址相符，就會發生錯誤。

診斷

  1. 找出因特定 API 要求而拒絕存取的 IP 位址。您可以在錯誤回應的 faultstring 元素中找到這項資訊。

    舉例來說，下列 faultstring 中的 IP 位址為 104.132.196.83:

    "faultstring": "Access Denied for client ip : 104.132.196.83"

  2. 檢查失敗 API Proxy 中的所有存取權控管政策，並判斷 <SourceAddress> 元素中指定的 IP 位址與 faultstring (上述步驟 1) 中識別的 IP 位址相符的特定政策。

    舉例來說，下列政策將 <SourceAddress> IP 定義為 104.132.196.83,，且與 faultstring 中的內容相符：

    <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
    <AccessControl async="false" continueOnError="false" enabled="true" name="Access-Control">
    <DisplayName>Access-Control</DisplayName>
    <Properties/>
    <IPRules noRuleMatchAction="ALLOW">
        <MatchRule action="DENY">
            <SourceAddress mask="32">104.132.196.83</SourceAddress>
        </MatchRule>
    </IPRules>
    </AccessControl>

  3. 確定發出 API 要求的 IP 位址。做法如下：

    1. 使用 UI 追蹤

      1. 擷取失敗 API 要求的追蹤記錄。
      2. 在右側面板中，選取失敗的特定存取控制政策。

      3. 查看 proxy.client.ip 變數的值，如以下追蹤記錄範例螢幕截圖所示。

      4. 如果未列出 proxy.client.ip，請檢查 X-Forwarded-For 或 True-Client-IP 郵件標頭。

    2. 使用自訂報表

      您可以建立自訂報表，指定在 API Proxy 執行存取權控管政策時，系統會擲回 403 狀態碼，也可以判斷用戶端 IP 位址。如果過去曾發生問題，或是問題持續發生，而且你無法透過使用者介面擷取追蹤記錄，這項功能就能派上用場。

      如要瞭解如何建立自訂報表，請參閱「建立及管理自訂報表」一文。在自訂報表中，請選擇：

      1. 「流量總和」指標。

      2. Proxy、回應狀態碼、Proxy 用戶端 IP 和 X-Forwarded-For 的維度。

      這有助於判斷造成錯誤的用戶端 IP 或 IP 位址。

  4. 如果用戶端 IP 位址 (以 proxy.client.ip 變數指定) 或任何做為 API 要求的一部分傳遞的 IP 位址，皆與存取控制政策的 <MatchRule> 元素中 <SourceAddress> 元素中指定的 IP 位址相符(其中 action 屬性設為 DENY)，這是導致錯誤的原因。

    在上述範例中，參照變數 proxy.client.ip 中設定的值 (如上方追蹤記錄的螢幕截圖所示) 與存取控管政策的 <SourceAddress> 元素中定義的 IP 位址相符，因而觸發錯誤回應：

    "faultstring": "Access Denied for client ip : 104.132.196.83"

解析度

如果存取權控管政策的意圖是拒絕來自 faultstring 所列特定 IP 位址的 API 要求存取，則系統應該顯示錯誤訊息。這種情況就不需要採取其他行動。

不過，如果您確定可以將特定 IP 位址授予特定 API Proxy 的 API 要求存取權，請修改存取控制政策以允許存取這些 IP 位址。或者，如果您不想拒絕任何 IP 位址的存取權，也可以從 API Proxy 移除存取權控管政策。

以下範例說明如何只允許存取特定 IP 位址 104.132.196.83，並拒絕其餘部分的存取權：

<AccessControl name="ACL">
  <IPRules noRuleMatchAction = "DENY">
    <MatchRule action = "ALLOW">
      <SourceAddress mask="32">104.132.196.83</SourceAddress>
    </MatchRule>
  </IPRules>
</AccessControl>