Politika

#İzin listeleri

#Modeller

allowed_models: kurumun çağırabileceği model adları. Liste boşsa (null) hedefin desteklediği her model çağrılabilir. Liste doluyken listede olmayan her model reddedilir; yeni çıkan bir model de dahil. Kapsam bilinçli bir eklemeyle genişler, sessizce genişlemez.

Satır sonuna * koyarsanız önek eşleşir: claude-sonnet-4-5-* o ailenin bütün sürümlerini kapsar. Sağlayıcılar model adlarını sık sürümlediği için tam ad yazmak, yeni sürüm çıktığında isteklerin reddedilmesi demektir.

Reddedilen istek 403 policy_blocked alır; mesajda reddedilen model adı vardır, izinli liste yoktur (çağıran yönetici olmayabilir).

set-policy --tenant default --models 'gpt-4o,claude-sonnet-4-5-*'
set-policy --tenant default --models any

#Araçlar

allowed_tools: modele sunulabilecek araçların (function calling) adları. Üç durum vardır ve üçü ayrı yazılır:

Yalnız isteğin sunduğu araçlar denetlenir. Aracın ne yaptığı, çağrıldığında hangi veriye eriştiği ve döndürdüğünün doğruluğu bu kontrolün kapsamı dışındadır. Karar, araç adıyla kayda geçer.

set-policy --tenant default --allowed-tools get_order,search_docs
set-policy --tenant default --allowed-tools none
set-policy --tenant default --allowed-tools off

#Bölgeler

Bu bir politika seçeneği değil, kurulum ayarıdır: .env içindeki EU_REGIONS listesi, kişisel veri taşıyan bir isteğin gidebileceği bölge etiketlerini belirler. Hedefin bölgesi bu listede değilse ve istek kişisel veri taşıyorsa istek reddedilir; kayda region_rule · block · personal_data_outside_eu yazılır. Kişisel veri taşımayan istekler her bölgeye gidebilir.

Eşleşme tam metindir. Varsayılan liste: eu, eu-frankfurt, eu-central, eu-west, eu-north, eu-south, europe-west, europe-north. Türkiye içindeki bir hedefi izinli yapmak için tr-istanbul gibi kendi etiketinizi listeye ekleyin ve hedefte aynı etiketi kullanın.

Bölge etiketi beyana dayanır: sağlayıcının veriyi gerçekten nerede işlediği doğrulanmaz. Kanıt raporu bunu söyler.