Adresses privées autorisées (liste d'autorisation SSRF)

AurionAI vérifie chaque adresse appelée par un workflow, afin de protéger votre organisation et AurionAI contre les requêtes vers des systèmes internes. Par défaut, un workflow ne peut appeler que des adresses publiques. Sur la page Liste blanche SSRF, un administrateur peut ouvrir des adresses de réseau privé spécifiques pour les étapes Requête HTTP et Envoyer un webhook de vos workflows.

Disponibilité : Profils Helpdesk et AI Voice + Helpdesk. Administrateurs uniquement.

Prérequis

• Vous disposez du rôle Propriétaire ou Administrateur. Les autres utilisateurs voient Accès refusé.
• Votre organisation utilise le profil Helpdesk ou AI Voice + Helpdesk.

Effet d'une entrée

• Une entrée permet aux étapes Requête HTTP et Envoyer un webhook de vos workflows d'appeler cette adresse de réseau privé. L'entrée s'applique uniquement à votre organisation.
• Une entrée ouvre tous les ports de l'adresse. Elle ne limite pas la requête à un seul port.
• Les adresses publiques fonctionnent sans entrée.
• AurionAI bloque toujours les adresses de bouclage (localhost, 127.0.0.1, ::1) et les adresses de métadonnées cloud (par exemple 169.254.169.254). Vous ne pouvez pas les ajouter à la liste.
• AurionAI bloque toujours les réseaux de la plateforme AurionAI elle-même, ainsi que les noms d'hôtes internes aux clusters ou au cloud. Vous ne pouvez pas les ajouter à la liste.
• Une entrée n'a aucun effet sur les webhooks de notification, les étapes Slack ou d'autres requêtes sortantes. Celles-ci nécessitent toujours une adresse publique.
• Une entrée n'a aucun effet lorsqu'une variable fournit le nom d'hôte de l'URL. Écrivez le nom d'hôte ou l'adresse directement dans l'URL.
• Lorsqu'une adresse autorisée répond avec une redirection vers une adresse privée, AurionAI bloque la redirection. Cela s'applique également à une redirection vers la même adresse ou le même nom d'hôte.
• Chaque requête autorisée par une entrée est consignée dans le journal d'audit.

Formats des entrées

Une entrée est l'un des éléments suivants :

• une adresse IPv4 privée, par exemple 10.20.0.5, ou un réseau IPv4 privé, par exemple 10.20.0.0/24. Elle doit être comprise dans 10.0.0.0/8, 172.16.0.0/12 ou 192.168.0.0/16. Un réseau doit être en /16 ou plus étroit.
• une adresse ou un réseau IPv6 privé compris dans fc00::/7. Un réseau doit être en /48 ou plus étroit.
• un nom d'hôte exact, par exemple erp.northwind.example. Une entrée de nom d'hôte seule n'ouvre rien. Elle ne fonctionne qu'en combinaison avec une entrée d'adresse ou de réseau contenant les adresses du nom d'hôte.

Une URL avec une adresse, par exemple http://10.20.0.5/, nécessite une entrée d'adresse ou de réseau. Une URL avec un nom d'hôte nécessite une entrée de nom d'hôte et une entrée d'adresse ou de réseau. AurionAI résout le nom d'hôte lors de l'exécution du workflow :

• Les adresses publiques figurant dans la réponse sont autorisées comme d'habitude.
• Chaque adresse privée figurant dans la réponse doit être comprise dans l'une de vos entrées d'adresse ou de réseau. Si une adresse privée ne l'est pas, AurionAI bloque la requête.

Non acceptés : les caractères génériques (*.northwind.example), les URL, les ports, les adresses publiques, les noms d'hôtes à étiquette unique (par exemple erp), et les noms d'hôtes se terminant par .svc, .cluster.local, .internal, .local ou .localdomain.

Ajouter une entrée

1. Dans la barre latérale, sélectionnez Paramètres.
2. Ouvrez la catégorie Système.
3. Sélectionnez Liste blanche SSRF.
4. Sélectionnez Ajouter une entrée.
5. Dans Hôte ou adresse, saisissez l'adresse, le réseau ou le nom d'hôte. Utilisez l'un des formats décrits dans « Formats des entrées » ci-dessus. Pour un nom d'hôte, ajoutez également une entrée pour son adresse ou son réseau.
6. Facultatif : dans Description (optionnel), indiquez l'objet de l'entrée.
7. Sélectionnez Créer.

Désactiver ou supprimer une entrée

• Pour désactiver ou activer une entrée, sélectionnez le bouton crayon de l'entrée. Son badge bascule entre Actif et Inactif. Une entrée désactivée n'autorise rien.
• Pour supprimer une entrée, sélectionnez le bouton corbeille de l'entrée et confirmez dans la fenêtre du navigateur.

Résultat

• AurionAI affiche Entrée créée ou Entrée supprimée.
• Les modifications sont enregistrées immédiatement. La prochaine exécution du workflow les prend en compte.
• Chaque entrée nouvelle, modifiée ou supprimée est consignée dans le journal d'audit.
• Les entrées plus anciennes qui n'utilisent pas un format accepté (par exemple un caractère générique ou le début d'une URL) n'autorisent rien. Supprimez-les et ajoutez à nouveau l'adresse dans un format accepté.

En cas de problème

• Cette entrée n'est pas acceptée. Utilisez un nom d'hôte exact ou une adresse ou un réseau privé, comme décrit sous le champ. L'entrée n'est pas dans un format accepté, ou il s'agit d'une adresse de bouclage, de métadonnées cloud, de la plateforme AurionAI ou d'une adresse publique. Utilisez l'un des formats décrits dans « Formats des entrées » ci-dessus.
• Ce modèle d'URL existe déjà L'entrée est déjà présente dans la liste. Activez plutôt l'entrée existante.
• Une requête de workflow vers une adresse privée est toujours bloquée. Vérifiez que :
  • les entrées sont Actif ;
  • l'étape est une étape Requête HTTP ou Envoyer un webhook ;
  • l'URL contient le nom d'hôte ou l'adresse elle-même, et non une variable ;
  • pour un nom d'hôte, il existe une entrée de nom d'hôte et chaque adresse privée du nom d'hôte est comprise dans une entrée d'adresse ou de réseau.

Articles connexes

• Créer des workflows
• Journal d'audit
• Webhooks de notification