若企业内网中WorkBuddy访问知识库等服务提示“权限不足”，主因是VPC安全组未放行客户端子网对3001/3002端口的入站流量，需检查CIDR范围、端口授权、跨安全组互通及高优先级拒绝规则。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在企业内网环境中运行 WorkBuddy，但访问内部知识库、MCP Server 或向量数据库时提示“权限不足”，则可能是由于 VPC 安全组规则未放行 WorkBuddy 客户端所在子网的入站流量，或规则中缺失对关键端口（如3001、3002）的明确授权。以下是检查与调整 VPC 安全组规则的具体操作步骤：
一、确认 WorkBuddy 客户端所在子网的 CIDR 范围
VPC 安全组需基于源 IP 段控制访问，若未识别客户端真实网络范围，将导致合法请求被拦截。必须获取客户端实际所处子网的 CIDR 块（例如 10.10.20.0/24），而非仅依赖本地环回地址或 NAT 网关出口 IP。
1、在 WorkBuddy 客户端主机上执行 ipconfig（Windows）或 ifconfig（Linux/macOS），定位默认网关对应网段。
2、登录企业云平台控制台，进入 VPC 服务 → 子网列表，核对客户端所在子网的 IPv4 CIDR。
3、记录该 CIDR 值，后续配置安全组入站规则时须精确填写，不可使用 0.0.0.0/0 全放通作为临时替代。
二、检查关联安全组的入站规则是否包含 3001/3002 端口授权
WorkBuddy 企业部署依赖本地服务端监听 3001（HTTP API）、3002（MCP Server）端口，VPC 安全组若未显式允许对应协议与端口，将直接拒绝连接请求，表现为“权限不足”错误。
1、在云平台 VPC 控制台中，定位承载 WorkBuddy 服务端的 ECS/EC2 实例。
2、查看该实例所关联的安全组名称（如 workbuddy-prod-sg、wb-server-group）。
3、点击进入该安全组详情页，切换至“入站规则”标签页。
使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表
4、查找是否存在类型为 TCP、端口范围为 3001–3002、源地址为客户端子网 CIDR 的规则；若无，则必须新增；若存在但源地址为 127.0.0.1 或 ::1，即为配置错误。
三、验证安全组是否误启用“组内互通默认拒绝”策略
部分云平台（如 IBM Cloud VPC、华为云 Stack）默认关闭安全组间自动互通，若 WorkBuddy 服务端与身份认证服务（SSO/LDAP）、向量数据库分属不同安全组，且未配置远程安全组引用规则，则跨组调用将因无显式放行而失败，错误日志常归类为权限异常。
1、列出当前 VPC 下所有已启用的安全组，识别出服务端（wb-server-sg）、认证服务（idp-sg）、向量库（vector-db-sg）各自所属组。
2、在 wb-server-sg 的入站规则中，检查是否存在类型为“安全组”、源为 idp-sg 或 vector-db-sg 的条目。
3、若不存在，添加新规则：类型选“安全组”，协议 TCP，端口 3001/3002，源选择对应目标安全组 ID；每条远程安全组引用均计入配额，IBM Cloud 限制为最多 15 条。
四、排查安全组规则是否被更高优先级策略覆盖
当多个安全组同时关联至同一实例时，规则按优先级合并生效。若某高优先级安全组（如 default-sg）含显式拒绝规则（如拒绝全部 TCP 流量），则即使 wb-server-sg 已放行 3001 端口，整体仍被阻断。
1、在实例详情页的“安全组”标签下，确认当前关联的所有安全组列表及顺序。
2、逐个打开各安全组，检查其入站规则中是否存在 “Type: All traffic”、“Protocol: All”、“Source: 0.0.0.0/0” 且“允许/拒绝”状态为“拒绝”的条目。
3、定位到含拒绝规则的安全组，编辑该规则或将其从实例解绑；禁止保留“拒绝全部流量”类兜底规则，除非明确用于隔离测试环境。
