要約

  • 2026年7月28日、ARINは非人間のサービスアカウントを受け入れ、REST呼び出しでAPIトークンを Authorization ヘッダーに載せる方法を優先選択肢として追加した。URLパラメーターも引き続き使える。
  • 2022年に提出された二つの提案が、機能公開の翌日にクローズした。一つは自動処理用アカウント、もう一つはURLログに残るAPIキーへの懸念だった。

URLは行き先を示す道具だ。秘密を預ける金庫ではない。リクエストを記録するシステムは、URL全体をログに残すことがある。APIキーまでクエリに置けば、行き先と一緒に秘密も記録される。

ARINは7月28日、Authorization: ApiKey <API_KEY> というHTTPヘッダー方式を追加した。URLにキーを含める従来方式も引き続き動くが、ヘッダーが推奨される。キーをURLそのものから切り離せる点が、変更の狙いだ。

提案2022.5は2022年2月11日に提出された。URL全体がログに記録され、APIキーを読む必要のない人まで見られる場所へ運ぶ、と問題を指摘した。ARINはヘッダーを最善の代替策と判断し、エンジニアリングの計画に載せた。機能は2026年7月28日に公開され、提案は翌29日に終了。四年半の待ち時間を、短いヘッダー指定で締めくくった。

同じリリースは、非人間のサービスアカウントを作れない制限も取り除いた。提案2022.11は、REST APIと連携する自動処理にサービスアカウントを求めていた。ARINが当初気にしていたのは変更履歴だ。APIによる変更の実行者を特定できるようにしたかった。2022年4月には、ロールアカウントやサービスアカウントが利用者に役立ち、作成制限を外す作業も小さいと認めていた。それでも実装には四年以上かかった。

アカウントは処理主体を示し、ヘッダーは秘密の運び方を変える。役割は別だ。Reg-RWSのガイドによると、変更操作には対象レコードを管理する権限を持つ Point of Contact と結び付いた ARIN Online アカウントが必要になる。APIキーは呼び出しを認証し、POCの権限が変更できるレコードを決める。

APIキーの扱いも明確だ。キーに有効期限はなく、必要なときに無効化できる。作成時だけ完全なキーが表示され、複数のキーでリクエストやレポートのアクセスを分けて追跡できる。2024年の相談ではIPアドレス範囲による制限も議論された。ARINはそれを別途調査・範囲設定する課題に分けた。2026年7月のリリースが告知したのはヘッダー方式で、二つの変更は別々の道を進んでいる。

自動処理には専用の名札ができ、APIキーはURLから降りられるようになった。運用側にはもう一つ仕事が残る。各サービスアカウントの担当チームを決め、キーを止められる人を明らかにすることだ。

出典