为防止API Key被非法调用，火山引擎要求在创建时勾选IP白名单限制，支持公网及私网CIDR格式，创建后不可修改；验证需通过403错误及ip_not_allowed响应确认生效。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
给火山引擎API Key设置IP白名单，是为了防止密钥被非法设备调用导致模型配额被盗刷或产生额外费用。必须在创建API Key时就勾选限制选项，创建后无法补加IP白名单。
创建API Key时同步配置IP白名单
登录火山方舟管理控制台 → 进入「API Key 管理」→ 点击「创建 API Key」。
在弹出的创建窗口中，填写名称后，向下滚动到「访问控制」区域。
勾选【限制可调用该 API Key 的 IP】→ 在输入框中逐行填写允许访问的公网IP地址（支持单IP、CIDR格式如 192.168.1.0/24）→ 注意：每行一个IP，不可用逗号分隔；【不填则默认不限制，任何IP均可调用】。
点击「创建」，页面跳转至API Key列表页，此时该Key已绑定白名单规则，无法再修改。
配置私网IP白名单（仅限VPC内调用场景）
方法一：创建时启用私网访问控制
在「创建 API Key」弹窗的「访问控制」区域，勾选【限制可调用该 API Key 的 IP】→ 输入形如 10.0.0.5 或 172.16.0.0/16 的私网地址段 → 创建完成即生效。
方法二：通过项目级网络策略补充（需有VPC管理员权限）
进入「项目空间 → 网络与安全 → VPC访问策略」→ 新建策略 → 目标服务选择「方舟模型服务」→ 源地址填入你的私网网段 → 动作设为「允许」→ 绑定到当前项目。
注意：此方式不作用于API Key本身，而是控制VPC出口流量是否能抵达方舟服务端点，需与方法一配合使用才完整。
验证IP白名单是否生效
第一步：从白名单外的机器（如手机热点、家庭宽带）执行一次curl请求：
curl -X POST "https://ark.cn-beijing.volces.com/api/v3/chat/completions" \
-H "Authorization: Bearer YOUR_ACCESS_KEY" \
-H "Content-Type: application/json" \
-d '{"model":"doubao-lite-32k","messages":[{"role":"user","content":"hi"}]}'
第二步：观察返回——若返回 HTTP 403 且 body 中含 "ip_not_allowed" 字样，则白名单已起作用。
第三步：切换回白名单内的设备重试，应返回200及正常响应体。
