Кратко

  • Предложение ACSP 2011.17 просит ограничивать каждый API-ключ по операциям, чтению и записи, а также по POC, от имени которого он действует. Публичный статус — Open.
  • В 2012 году ARIN оценил инженерную часть примерно в 1 458 000 долларов. Последнее опубликованное замечание регистра по этому запросу датировано 2018 годом.

Машине дают ключ, чтобы она не ждала человека при каждом обновлении реестра. Но вместе с удобством возникает выбор: должна ли машина получить все полномочия учётной записи, если ей нужна одна операция? Mike Joseph поставил этот вопрос ARIN 11 апреля 2011 года. Он указал, что секрет, помещённый в систему автоматизации, может быть виден большему числу людей, чем сам аккаунт его владельца.

Его текст предлагал конкретный способ укоротить цепочку доверия. Владелец должен выбирать разрешённые RESTful- и шаблонные действия для каждого ключа, отдельно задавать чтение и запись и привязывать ключ к одному POC, а не ко всем контактам аккаунта ARIN Online. Тогда у программного процесса появляется своя мера власти. Ради узкого ключа не придётся заводить отдельные ролевые аккаунты и связывать их с нужным контактом.

ARIN сначала предложил обсудить контроль доступа с сообществом. В апреле 2012 года сотрудники оценили инженерные работы примерно в 1 458 000 долларов плюс значительный объём коммуникаций и документации. Они указали на сложность кода и возможную путаницу для пользователей. Комментарий апреля 2018 года сообщил, что предложение не вошло в план работ на тот год и будет рассмотрено в консультации об открытых запросах. Нынешний список ACSP всё ещё содержит 2011.17 со статусом Open. Сумма из 2012 года ничего не говорит о цене реализации в 2026-м.

Текущая инструкция ARIN объясняет, что ключ идентифицирует пользователя, не истекает автоматически и может быть отключён. Один ключ подходит для нескольких взаимодействий; несколько ключей можно создать для местного учёта запросов. Среди применений указаны регистрационные действия, DNS, RPKI, обратный DNS и закрытые отчёты. REST-запрос требует ещё и полномочий POC, связанного с аккаунтом. Это два уровня проверки: кто обращается и имеет ли его контакт право действовать. Инструкция не описывает третий уровень, о котором писал Joseph: перечень действий и POC, разрешённых именно этому экземпляру ключа.

После 2018 года на странице запроса нет нового решения. Публикация спецификации ограничений для отдельных ключей или официальное закрытие 2011.17 изменит оценку. Пока регистр даёт владельцу способ создать ключ и способ его отозвать, а вопрос о том, сколько дверей он открывает между этими событиями, остаётся без публичного ответа.