Résumé

  • Au RIPE 93 du 28 octobre, RIPE NCC a annoncé que la connexion OpenID Connect du tableau RPKI fonctionnait depuis le matin. L’ancien cookie partagé devait rester jusqu’au soir pour les sessions déjà ouvertes.
  • Pour l’API de gestion RPKI, l’ingénieur a décrit un secret partagé sans date d’expiration. Le remplacement par des clés liées au SSO, valables un an, est encore à venir.

Mercredi, le guichet du navigateur a été remplacé. Celui des automates est resté ouvert avec l’ancienne clé. Tim Bruijnzeels l’a dit sans mélanger les deux chantiers : OIDC était en service dans le tableau RPKI, alors que l’API attendait sa migration. Une annonce de connexion neuve ne fait pas tourner les identifiants déjà logés dans les scripts.

RIPE NCC avait auparavant atténué le problème de connexion signalé pour le tableau. Selon Bruijnzeels, la suite exigeait OIDC. Le jour du lancement, le cookie commun demeurait actif jusqu’à la fin du 28 octobre pour ne pas expulser les utilisateurs en pleine session. L’institution a ainsi fixé une courte période de recouvrement, avec une raison pratique et une échéance annoncée.

Le plan RPKI du quatrième trimestre réunissait OIDC et la refonte des clés API dans le même dossier. Le compte rendu oral les sépare désormais. La clé actuelle est un secret partagé sans expiration, configuré dans le portail LIR. Les titulaires de ressources PI ou historiques passant par un LIR parrain n’ont pas cet accès API. RIPE NCC prévoit des clés liées aux comptes SSO, renouvelables après un an, avec des alertes avant échéance et un accès étendu à ces titulaires.

La documentation de l’API montre l’en-tête X-API-Key et la publication des ROA. Le calendrier compte donc autant que le nouveau formulaire de connexion. Il manque au dossier public une confirmation de retrait du cookie après le 28 octobre et une date de bascule des clés API ; deux avis de clôture distincts permettraient de vérifier ces étapes.