服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- AWS 于 2026 年 10 月 5 日宣布该能力，默认关闭，通过 Identity Store API、AWS CLI 或 SDK 配置。
- VpceAccessRequired 控制是否要求 VPC 端点；ApiRestrictSourceVpcs 限定 API 来源 VPC，ApiAllowSourceIps 则是可绕开这两项限制的 IP 例外。
- SCIM 是外部身份提供方同步用户和组的协议，使用 ScimAllowSourceIps；不能把 API 的 IP 例外直接当成同步规则。
- UpdateIdentityStore 中提供 NetworkConfiguration 时会整体替换旧配置：省略的值被清除，空列表不被接受。
先确认要限制的是哪一条访问路径
这项能力限制 Identity Store 的网络来源，适用于管理该身份存储的团队。Identity Store API 与 SCIM 同步是两条需要分别核对的路径；它不是账号登录地区限制，也不会替代调用方原有的身份和权限检查。
AWS 公告称，控制可用于所有已提供 IAM Identity Center 的 AWS Region，且默认不启用；AWS 服务代表客户发出的请求属于豁免范围。本文没有逐一验证全部 Region，不把公告口径扩展成每种区域、实例或外部身份提供方都已完成验证。
API 的 IP 列表是放行例外，不能当作叠加过滤
VpceAccessRequired=true 要求请求经 VPC 端点进入。VPC 是 AWS 中的虚拟私有网络，端点提供相应的服务访问入口；ApiRestrictSourceVpcs 可以进一步列出允许调用 Identity Store API 的来源 VPC。省略来源 VPC 列表表示不按特定 VPC 限制，但已启用的端点要求仍然适用。
ApiAllowSourceIps 的含义不同：命中其中 IP 地址段的 API 请求，可同时绕开上述端点要求与来源 VPC 限制。CIDR 是用地址和前缀长度表示的网段。若你的目标是仅允许私有端点访问，就要特别审查是否需要这类例外，以及列表是否过宽。不要把三个字段理解成必须全部匹配。
SCIM 同步另配列表，先核身份提供方的真实出口
ScimAllowSourceIps 用于 SCIM 请求，列表外来源被拒绝。省略它时，SCIM 仍受其他网络控制约束，包括已设置的 VPC 端点要求；因此只验证你自己的 API 调用成功，还不能证明外部用户同步正常。
AWS 示例用 0.0.0.0/0 演示允许来自任意 IPv4 来源的 SCIM，同时保留 API 端点限制。这是在说明字段行为，不能直接当作团队的推荐配置。应向实际身份提供方核对其同步来源和变更安排，再决定允许范围；本文没有替任何提供方确认固定出口。
两个 IP 列表与来源 VPC 列表各自最多 50 项。IP 字段模型接受 IPv4／IPv6 地址段；IPv4 放行范围不会自动覆盖 IPv6，应按实际访问来源核对。
更新前先留底：这次请求会替换整个网络配置
先确认目标 Identity Store ID 或 ARN、所在 Region，以及调用身份有权执行相应操作。使用 DescribeIdentityStore 读取现有 NetworkConfiguration，并保存变更前的完整值。本文不提供通用 IAM 权限模板；所需授权应按你的实际资源和官方权限文档核对。
准备 UpdateIdentityStore 请求时，把需要保留的网络设置和本次调整一起写入 NetworkConfiguration。该对象是整体替换：没有提交的旧值会被清除；清除某个列表要省略该列表，不能传空数组。只提交一个新增 CIDR，不能被理解为给旧列表追加一项。
只要提交 NetworkConfiguration，就必须明确给出 VpceAccessRequired 的 true 或 false。假设团队只想新增一个同步来源，也应先读取旧值，再形成完整目标对象，避免无意清除现有 API 限制。这个例子解释更新方式，不是可以直接套用的配置。
读回配置后，再分别验证 API 与同步结果
通过 AWS CLI 的 identitystore update-identity-store 或相应 SDK 调用提交已审核配置，然后用 DescribeIdentityStore 读回并逐字段比对。更新返回的 ID 或 ARN 只能确认这次响应，不能代替网络路径验收。
在你有权操作的受控环境中，分别检查计划允许的 API 来源、计划拒绝的来源，以及实际身份提供方的 SCIM 同步。保留时间、目标 Region、调用错误和变更前后配置；不要在工单中暴露令牌或用户数据。本文没有运行读者账号的配置或同步测试。
若结果不符，先分清调用权限、目标资源、端点／来源 VPC 与 IP 例外，再检查 SCIM 的独立路径。恢复旧设置也应提交已审核的完整配置，并再次读回验证；不要靠扩大到任意 IP 范围来掩盖原因。
费用与边界：Identity Center 免费不等于网络资源免费
AWS FAQ 称 IAM Identity Center 本身不额外收费；本次公告没有列出单独的网络控制费用。另行配置的 VPC 端点或其他网络资源是否收费，应按目标 Region 和实际资源查价，不能据此承诺整个方案零成本。
这些控制决定特定身份服务请求能否从某个来源进入。它们不改变 AWS 的服务资格、IAM 授权或其他平台规则；更换代理出口也不能替代这些条件。若你排查的是一般连接失败，可另看分层连接排错指南，再回到实际服务的权限与网络配置。
资料来源
常见问题
会在控制台自动打开吗？
不会按公告默认启用。当前核验的配置入口是 Identity Store API、AWS CLI 或 SDK；本文没有核验一个对应的控制台操作流程，不提供猜测菜单。
AWS 服务请求成功能证明我的来源限制生效吗？
不能。公告明确豁免 AWS 服务代表客户发出的请求。应分别核对实际调用身份和来源，以及计划允许或拒绝的受控请求结果。
遇到 ConflictException 应不断重发旧配置吗？
不应盲目覆盖。官方 API 将并发修改列为冲突原因之一；先读取当前配置、确认是否有其他变更，再审核完整目标对象。旧快照可能已不再代表应保留的设置。