Zusammenfassung

  • Auf RIPE 93 am 28. Oktober erklärte RIPE NCC, OpenID Connect sei seit dem Morgen im RPKI-Dashboard aktiv. Das bisherige gemeinsame Cookie sollte für bereits angemeldete Nutzer bis Tagesende bleiben.
  • Die RPKI Management API nutzte laut demselben Bericht noch ein gemeinsames Geheimnis ohne Ablauf. SSO-gebundene Schlüssel mit einjähriger Laufzeit sind der nächste Schritt.

Ein Mensch meldet sich im Browser an; ein Skript reicht einen Schlüssel ein. RIPE NCC hat am Mittwoch den ersten Weg umgestellt. Ingenieur Tim Bruijnzeels berichtete der Routing Working Group von einem laufenden OIDC-Login und beschrieb anschließend die noch ausstehende API-Migration. Wer beides als eine fertige Anmeldung verkauft, übersieht den Schlüssel im Maschinenraum.

Beim Browser gab es eine bewusst kurze Überschneidung. Das zuvor gemeldete Login-Problem im Dashboard war nach Bruijnzeels bereits entschärft worden; für den weiteren Schritt brauchte RIPE NCC OIDC. Das gemeinsame Cookie war während des Vortrags noch vorhanden und sollte erst am Abend des 28. Oktober verschwinden. So konnten bestehende Sitzungen auslaufen, ohne Nutzer mitten in der Arbeit abzumelden.

Im RPKI-Plan für das vierte Quartal stehen OIDC und neue API-Schlüssel zusammen. Der Konferenzbericht trennt den Fertigstellungsgrad. Der heutige API-Zugang verwendet ein im LIR-Portal eingerichtetes, unbefristetes Geheimnis und steht LIRs offen. Inhaber von PI- oder historischen Ressourcen mit einem betreuenden LIR haben diesen Zugang nicht. Geplant sind an SSO-Konten gebundene Schlüssel, ein Jahr Laufzeit, Erneuerung und Warnungen vor Ablauf; diese Inhaber sollen dann ebenfalls die API nutzen können.

Die API-Anleitung zeigt X-API-Key beim Veröffentlichen von ROAs. Eine neue Browser-Sitzung ersetzt keinen Schlüssel, der in einem solchen Aufruf steckt. In den öffentlichen Unterlagen fehlen der Nachweis der Cookie-Abschaltung nach dem 28. Oktober und ein Datum für den Wechsel der API-Schlüssel; zwei Abschlussmeldungen würden diese Lücke schließen.