Azure API Management Basic层配置咨询：端点访问控制与环境部署建议

一、初始环境配置避坑要点 #

• 先完成APIM实例的基础部署，确认实例状态为Running后再进行API和策略配置，避免部署中修改导致的配置失效
• 提前收集并整理：公司内网IP段（如192.168.0.0/16）、允许访问GET /cars的外部授权IP列表，避免临时查找数据引发配置错误
• 先创建或导入目标API，确保GET /users和GET /cars操作已正确定义，避免策略绑定到不存在的API操作上
• 明确Basic层限制：不支持VNet内部部署模式，仅能通过IP过滤实现访问范围控制，不要尝试配置VNet内部模式导致无效操作

二、GET /users 仅内网访问配置 #

通过API操作级别的入站IP过滤策略实现：

1. 登录APIM控制台，找到目标API下的GET /users操作
2. 进入「策略」编辑器，选择「入站」阶段
3. 添加以下IP过滤策略（替换为实际内网IP段）：

<ip-filter action="allow">
    <address>192.168.0.0/16</address>
    <!-- 可添加多个内网IP段，每行一个<address>标签 -->
</ip-filter>
<ip-filter action="deny">
    <address>0.0.0.0/0</address>
</ip-filter>

4. 保存策略后，仅内网IP可访问GET /users，外部IP访问会返回403 Forbidden

三、GET /cars 内外网访问+IP过滤配置 #

通过允许指定内网IP和授权外部IP的策略实现：

1. 进入目标API下的GET /cars操作的「策略」编辑器
2. 在「入站」阶段添加以下IP允许策略（替换为实际IP段）：

<ip-filter action="allow">
    <address>192.168.0.0/16</address> <!-- 内网IP段 -->
    <address>203.0.113.5/32</address> <!-- 授权外部IP1 -->
    <address>203.0.113.6/32</address> <!-- 授权外部IP2 -->
</ip-filter>

3. 保存策略后，仅配置中的内网IP和授权外部IP可访问GET /cars，其他IP返回403 Forbidden

内容的提问来源于stack exchange，提问作者leeodrift