Summary

  • RIPE NCC 的 RPKI Management API 文档明确排除受担保的 PI、Legacy 资源证书机构；这些资源的非 LIR 持有人仍可通过 RPKI Dashboard 管理 ROA。
  • RIPE 的 RPKI 负责人说，新一代与 SSO 绑定、有效期一年的密钥计划让终端持有人也能调用 API。季度计划显示项目仍在进行，没有公布这类账户的开通日期。

最能暴露权限设计的，不是网页登录页，而是同一个资源换成脚本操作时会发生什么。RIPE NCC 对受担保的 PI 和 Legacy 地址给出了两个答案：网页可以，API 不行。

现行 RPKI Management API 文档写得很直白：受担保的 PI 或 Legacy 资源证书机构不能使用该接口。创建密钥须由 LIR Portal 的管理员账户完成。API 本身可创建 ROA、读取经认证地址空间的 BGP 宣告信息，并设置提醒。ROA 决定哪个自治系统获授权宣告前缀；把维护动作接入程序，意味着运营团队能把变更纳入可重复执行的流程。受担保资源持有人没有这条官方 API 路径。

RIPE 的账户权限说明却允许持有受担保资源的非 LIR 机构进入 RPKI Dashboard 管理 ROA。RPKI 资源指南还说明，担保 LIR 与终端用户均可为 PI 资源申请证书，Legacy 持有人也可为 Legacy 终端资源申请证书。这里的分界不在“有没有证书”，也不在“能不能使用 RPKI”，而在“能不能用软件维护自己已经能在网页上维护的授权”。

RIPE 93 路由工作组会上，RPKI 负责人 Tim Bruijnzeels 说出了旧设计的两面：现有密钥本质上是没有到期日的共享秘密，设置在 LIR Portal，提供给 LIR；拥有 PI 或 Legacy 空间且由 LIR 担保的终端用户无法使用 API。他随后描述新方案：密钥关联 SSO 账户，有效期一年，终端用户届时也可进入 API。负责人把开放终端用户入口列成迁移收益，这使项目不只是换一把更安全的钥匙，也是在改门牌上写谁的名字。

公开计划的时间轴还没有把两件事接起来。RPKI 第四季度计划把 OIDC 与新 API 密钥列为“进行中”，并计划在 Dashboard 管理密钥。业务应用计划称 RPKI Management 密钥是 LIR Portal 仅剩的旧式 API 密钥，拟将其迁往 Dashboard，并在年底前废止旧门户的密钥功能。文档没有写受担保证书机构何时可以生成新密钥，也没有公开一笔终端用户的成功 API 操作。

所以不能把“密钥搬家”算作“权限开放”。一年到期能处理长期不失效的凭证；它不会自行消除当前接口按 LIR 身份设的门槛。检验办法很具体：一名 PI 或 Legacy 持有人以自己的身份获得新密钥，密钥只作用于自己获准管理的证书机构，API 接受一次 ROA 变更，结果进入通常的 RPKI 发布流程。RIPE 现在公布了方向，还欠这条执行链的日期与回执。