摘要

  • RIPE NCC 在 10 月 28 日的 RIPE 93 路由工作组称，RPKI 控制台的 OpenID Connect 当天上午已上线；为保留现有会话，旧的共享 cookie 计划运行到当日结束。
  • 同一场报告说，RPKI 管理 API仍靠没有到期日的共享密钥；与 SSO 账户绑定、有效期一年的新密钥尚处于迁移计划中。

人从浏览器进门，脚本从 API 进门。RIPE NCC 这次只换了前一扇。工程师 Tim Bruijnzeels 在 RIPE 93 把进度拆得很清楚：控制台 OIDC 已在周三早晨启用，API 凭证还没搬家。把两个入口统称为“RPKI 登录升级”，会遮住真正需要轮换的那把旧钥匙。

旧 cookie 当天还值一个班次。Bruijnzeels 说，先前披露的控制台登录问题已做缓解处理，但下一步需要 OIDC。切换当天，共享 cookie 暂留至 10 月 28 日结束，理由是让已经登录的用户完成会话。这是机构主动选择的交接窗口，有开始时点，也有承诺的收尾时点。

第四季度 RPKI 计划把 OIDC 和 API 密钥替换放在同一项里；会议报告给出了不同状态。旧 API 密钥在 LIR 门户配置，是不会自行过期的共享秘密，只供 LIR 使用。通过担保 LIR 持有 PI 或历史资源的人，目前没有同等 API 入口。RIPE NCC 打算把新密钥接到 SSO 账户，设一年有效期、续期和到期提醒，并扩大这些持有人的使用资格。

这不是纸面权限。官方开发文档写着 X-API-Key 以及发布 ROA 的接口。浏览器登录改好了，运行中的脚本仍会拿旧凭证请求那个接口。公开材料还缺两张收据：10 月 28 日之后旧 cookie 确已撤下，以及新 API 密钥何日正式切换；RIPE NCC 的逐项完成公告才能填上日期。