沙箱网络策略配置-全域智能运维平台 STAROps(STAROps)-阿里云帮助中心

数字员工在沙箱环境下执行任务时，默认禁止访问外部网络。当数字员工需要调用第三方 API、访问指定 IP 的数据库或从公网拉取资源时，可通过配置沙箱网络策略，使用域名白名单或 IP 白名单放行必要的出站连接。

可以在创建数字员工时同步配置网络策略，也可以通过已有数字员工的详情页添加或修改网络策略。

创建数字员工时配置网络策略

说明

开始之前，确认已满足以下条件：

登录 STAROps 控制台。
在左侧导航栏，单击数字员工。
单击创建数字员工。
创建页面上，完成基本信息（ID、名称、RAM 角色等）的配置。
在沙箱网络策略配置区域，开启出网访问。
配置以下参数，域名白名单和 IP 白名单至少填写一项，详见参数说明：
- 允许域名输入框内，输入允许访问的域名，每行一个域名。
- 允许 CIDR/IP输入框内，输入允许访问的 IP 地址或 CIDR 网段，每行一个地址。
确认配置无误后，单击确定完成创建。

说明

创建完成后，可通过数字员工详情页的设置页签确认网络策略配置。如果创建时未配置网络策略，数字员工将使用默认隔离策略，仅允许访问平台基础设施，后续可随时添加网络策略。

如果数字员工已创建，可以通过编辑数字员工配置来添加或修改网络策略。

登录 STAROps 控制台。
在左侧导航栏，单击数字员工。
数字员工列表中，找到目标数字员工，单击其名称进入详情页。
选择设置页签，在沙箱网络策略配置区域，开启出网访问。
配置以下参数，域名白名单和 IP 白名单至少填写一项，详见参数说明：
- 允许域名输入框内，输入允许访问的域名，每行一个域名。
- 允许 CIDR/IP输入框内，输入允许访问的 IP 地址或 CIDR 网段，每行一个地址。
单击确定。修改后的网络策略将实时下发并生效。
在沙箱网络策略区域，确认白名单条目已更新。

重要

缩小白名单范围可能影响正在运行的任务。修改前，确认无任务依赖待移除的域名或 IP。

如果需要恢复数字员工的默认隔离状态，可以关闭网络策略。

重要

删除网络策略后，数字员工将无法访问此前白名单中的外部服务。如果有正在运行的任务依赖这些外部服务，可能导致任务执行失败。

参数	是否必填	说明
出网访问	是	开启后可配置域名白名单和 IP 白名单。关闭时使用默认隔离策略。
域名白名单	否	允许数字员工访问的精确域名列表。仅支持完整域名格式（如 `api.example.com`），不支持通配符、URL、端口和路径。每行输入一个域名，系统自动执行小写转换和去重。
IP 白名单	否	允许数字员工访问的 IPv4 地址或 CIDR 列表。支持 CIDR 格式（如 `10.0.0.0/24`）和裸 IP 地址（如 `8.8.8.8`）。每行输入一个地址。填写 `0.0.0.0/0` 表示开放全部公网访问。

说明

域名白名单和 IP 白名单至少需要配置一项。如果两者均为空且开关已开启，保存时会提示错误。已知目标服务域名时，优先使用域名白名单进行精确控制；目标服务无固定域名或需按网段放行时，使用 IP 白名单。

现象：控制台显示网络策略保存成功，但数字员工仍然无法访问白名单内的域名或 IP。

原因：策略下发到沙箱集群失败，可能由网络不可达或集群暂时不可用导致。

解决方案：

现象：配置了域名白名单，但数字员工访问该域名时报 DNS 解析失败。

原因：网络策略控制的是出站网络连接，DNS 解析服务默认已放行。此问题通常由域名本身不存在或 DNS 记录未配置导致。

解决方案：检查所填域名是否正确，确认目标域名的 DNS 记录已正确配置。

如果能明确数字员工需要访问的目标服务，建议优先使用域名白名单或 IP 白名单，避免过度开放网络权限。