需通过VPC端点策略实现网络层访问控制：一、创建接口终端节点并绑定仅允本VPC CIDR段443端口访问的安全组；二、配置服务级策略，Deny非授权VPC、Allow指定账号调用dashscope:InvokeModel；三、WorkBuddy强制使用私网域名并禁用公网fallback；四、启用VPC流日志审计异常流量。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您希望使用 WorkBuddy 调用的 API 仅限于企业内网环境访问，防止公网暴露与未授权调用，则需通过 VPC 端点策略实现网络层访问控制。以下是配置 VPC 端点策略的具体步骤：
一、创建接口终端节点并绑定安全组
接口终端节点是 VPC 内部服务访问云 API 的私密入口，其安全组决定了哪些流量可被接收。必须确保安全组入方向仅放行来自可信子网的请求，并禁用公网 IP 访问。
1、登录阿里云终端节点控制台，进入接口终端节点页签。
2、单击创建终端节点，选择终端节点类型为“接口终端节点”。
3、在终端节点服务中筛选并选中 com.aliyuncs.dashscope（对应百炼/WorkBuddy 后端所依赖的模型服务）。
4、选择目标 VPC 及至少两个不同可用区的交换机，确保高可用性。
5、为终端节点指定安全组，该安全组入方向规则必须满足：仅允许来自本 VPC 内指定 CIDR 段（如 192.168.0.0/16）的 443 端口 HTTPS 流量，拒绝所有其他源地址。
二、配置终端节点服务级访问策略
仅靠安全组无法限制特定 VPC 对特定 Bucket 或模型服务的细粒度访问，需在终端节点服务侧配置资源级策略，实现双向鉴权。
1、进入终端节点服务管理页面，定位已创建的服务实例。
2、在访问控制策略页签下，单击编辑策略。
3、添加一条 Deny 策略，条件为：aws:SourceVpc 不等于您的业务 VPC ID（如 vpc-xxx）。
4、再添加一条 Allow 策略，显式授予 Principal 为您的 VPC 所属账号 ARN，且 Action 限定为 dashscope:InvokeModel。
使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表
5、保存策略后，系统将自动拒绝非授权 VPC 发起的任何 InvokeModel 请求。
三、在 WorkBuddy 应用侧强制使用私网域名
WorkBuddy 客户端若仍调用公网域名，将绕过所有 VPC 端点策略。必须确保其 SDK 或 HTTP 客户端 base_url 显式指向终端节点分配的私网服务域名。
1、在终端节点详情页中复制服务域名（格式类似 xxx-xxx.cn-beijing.privatelink.aliyuncs.com）。
2、修改 WorkBuddy 配置文件或启动参数，将 DASHSCOPE_API_BASE_URL 替换为该私网域名。
3、验证 DNS 解析：在 VPC 内 ECS 上执行 nslookup，确认该域名解析结果为终端节点 ENI 分配的私网 IP（如 192.168.x.x）。
4、禁用 fallback 机制：确保 SDK 中未启用自动重试公网地址逻辑，关闭任何兜底至 api.dashscope.aliyuncs.com 的配置项。
四、启用 VPC 流日志并设置告警
VPC 流日志可记录所有经由终端节点网卡的流量，用于审计异常调用来源，是策略生效后的必要验证手段。
1、在 VPC 控制台中，为终端节点所在交换机开启流日志功能。
2、将日志投递至 SLS 日志服务，并创建查询语句筛选目标终端节点 ENI 的出入向流量。
3、配置告警规则：当出现 源 IP 不属于授权子网段 或 目标端口非 443 的 dashscope 请求时触发钉钉/邮件通知。
4、定期导出日志样本，检查是否存在 User-Agent 包含 curl/wget 或非 WorkBuddy SDK 标识的非法调用记录。
