摘要

  • ARIN 的 2026.10 号建议要求让具体资源的技术联系人管理该资源的 RPKI 和 IRR。ARIN 于 9 月 4 日承认细粒度权限的用途，表示纳入内部优先级，然后将建议标为 Closed，没有交付日期。
  • ARIN 现行 ROA 操作说明仍从组织的 Manage RPKI 入口创建和删除记录。只有资源级联系权限、没有相应 Org ID 权限的技术人员，须先找到组织层授权人；ROA 生成后的传播时间从这一步结束才开始计算。

负责一个前缀的人知道路由应由哪个 AS 发出，登录界面却先问他代表哪个组织。ARIN 2026.10 号建议要解决的就是这扇门：技术人员已经被列为具体资源的联系人，却不能只凭这层关联创建或撤销其 ROA。ARIN 已经关闭建议条目。前缀仍可能在等待组织层钥匙。

Nathanael Jean-Francois 于 8 月 20 日提交建议。他描述的不是把全组织的 RPKI 交给每个技术人员，而是让人只管理自己关联的资源。一些机构把某些地址资源的日常工作交给贴近现场的团队，组织层的 Routing POC 则掌握较广的权限。提交者称，资源级技术联系人遇到路由安全事件或新服务上线时，要通过组织层联系人才能创建或删除 ROA，因此处置会变慢。他没有提供实测等待分钟数或事件数量；可核实的制度问题是“负责前缀”与“能签发该前缀的来源声明”分属两层权限。

ARIN 在 9 月 4 日的回信里承认，这一场景需要更细的 RPKI/IRR 操作控制；它会在未来权限功能的内部排序中考虑这项建议。页面随即显示 Closed。没有上线日期、设计节点或公开的实施承诺。ARIN 的 ROA 指南仍要求用户在组织列表中选择 Org ID，进入 Manage RPKI 后创建或删除 ROA。RPKI 常见问题查看证书所覆盖的资源时也使用资源所属的 Org ID。

这里要认清两个身份。组织层的技术或路由联系人可能已经拥有操作权；Org ID 指南说明账户、POC 与组织记录如何关联。建议针对的是只被关联到某个具体资源、却没有对应组织层操作权的人。给他一把组织通用钥匙，可以省去交接，却让他碰到自己并不管理的其他前缀。若把授权精确绑定到资源，处置可以更贴近现场，同时不把整家机构的来源声明一并交出去。

这并非抽象的后台权限按钮。ROA 是带签名的声明，指出哪些 AS 可以发出一个或一组 IP 前缀。来源 AS 变更、客户迁移或错误 ROA 需要更正时，等待授权人可能占去处置时间。但授权过宽同样危险：拿到整家机构权限的人可以对无关前缀作出错误来源声明。ARIN 若要做资源级委托，就必须明确资源范围、撤权条件和操作审计，而不只是多添一个“允许编辑”的复选框。

权限等待和技术传播还有两只不同的钟。ARIN FAQ称，新 ROA 生成后立即进入资料库，资料库每五分钟发布一次；用户应预期它在生成后的 30 至 60 分钟才影响互联网路由。这是创建记录之后的传播时间，不能拿来代替“找组织层授权人”用了多久。删除 ROA 时，ARIN 指南说数据库立即生效，公开资料库将在 24 小时内反映。创建和删除的时间说明本来就不同，而两者都没有替组织内部的交接计时。

公开流程的钟也值得看。ARIN 的 ACSP 规则给被认定为可实施、明显有价值的建议安排了保持 Open 直到实施的路径，即使暂时估不出完成日期。2026.10 号建议的公开结果则是 Closed 加“内部优先级”。这使外部读者从该条目中看不到未来实施的进度表。能够改变判断的事实很具体：ARIN 给出带日期的产品承诺，或上线一套只允许资源级联系人修改其所管前缀的权限模型。

运营商眼下能做的是把人和钥匙先对齐：逐个 Org ID 列出谁有 ROA 创建与撤销权、谁是可联系的备份，并在事件发生前演练一次交接。ARIN 已承认权限粒度的问题，却将公开建议关档。路由变化不会因为“内部排序中”四个字而停下来等。

建议及 ARIN 回应 · ACSP 流程 · ROA 操作指南 · RPKI 常见问题 · Org ID 指南