要約

  • RIPE NCCは10月28日のRIPE 93で、RPKI DashboardのOpenID Connectが同日朝に稼働したと説明した。既存のログインを途中で切らないため、共有cookieはその日の終わりまで残す予定だった。
  • RPKI管理APIは、期限のない共有シークレットを使い続けているという。SSOアカウントに結び付けた有効期間1年の鍵は、次の作業である。

利用者の画面を通る鍵と、スクリプトが送る鍵。10月28日に交換されたのは前者だ。RIPE NCCのTim BruijnzeelsはRouting WGで、DashboardのOIDC稼働を告げた直後に、APIの移行作業を説明した。ひとつの「認証刷新」という看板では、この進捗差は見えなくなる。

旧cookieには当日いっぱいの猶予が設けられた。以前報告されたログイン上の問題について、Dashboard側はすでに緩和し、残る対応にOIDCが必要だったとBruijnzeelsは述べた。新方式を朝に動かしながら、ログイン済み利用者を突然退出させないために共有cookieを夜まで置く。運用の連続性を選んだ、時間を区切った移行だ。

RIPE NCCの第4四半期RPKI計画では、OIDCとAPI鍵の置き換えが同じ項目に並ぶ。会議での報告では、完了したものと残るものが分かれた。現行APIはLIRポータルで設定する期限なしの共有シークレットを使い、LIRが利用できる。スポンサーLIRを通じてPI資源や歴史的資源を保有する利用者には、そのAPI経路がない。予定される新鍵はSSO連携、1年の期限、更新と期限前通知を持ち、対象を広げる。

公式API文書にはX-API-Keyを付けたROA公開の呼び出しが載る。画面の認証を直しても、その呼び出しで動く自動処理の鍵は替わらない。公開記録に欠けるのは28日後のcookie撤去確認とAPI鍵の切替日であり、両方の完了記録が出れば時点を確定できる。