APNIC 已完成从多信任锚到单一信任锚的 RPKI 配置迁移，新架构采用“所有资源”全局信任锚，简化验证链路，现有 ROA 不受影响，依赖方软件需更新配置以避免告警。
新信任锚架构设计：
新配置包含一个扩展信任锚（含 IANA 原始标记资源，覆盖“所有资源”）、一个在线中间 CA（由新单一信任锚签名，同样含“所有资源”）、五个在线 CA（各由中间 CA 签名，分别对应 PTI 直接持有资源及通过其他 RIR 委派资源），成员 CA 则挂载在五个在线 CA 之下。这种层级将原先五个独立信任锚合并为单一入口，保持资源授权逻辑不变。
依赖方软件配置更新指引：
通过 MyAPNIC 或 RPKI 供给协议注册 ROA 的用户无需任何操作。运行验证器的用户应仅保留当前 APNIC 信任锚：RIPE NCC RPKI Validator 升级至 rpki-validator-app-2.24 即自动配置正确锚点；Dragon Research Labs rcynic 需在 rcynic.conf 中删除除 apnic-rpki-root-iana-origin.cer 及其 TAL 外的所有 TAL、TA 与 CER 条目；RPSTIR 需在 /usr/local/etc/rpstir 目录下仅保留当前生效的 APNIC TAL。原文未给出具体数据。
运维影响与兼容性说明：
不更新配置不会导致验证失败，但软件会持续记录无法获取已废弃信任锚的警告。迁移不涉及 ROA 重签或重发，业务流量零中断。各 RIR 均发布各自“所有资源”全局信任锚，互认机制维持既有。
对网络工程师而言，此次迁移简化了信任锚管理，仅需在验证器侧清理旧 TAL 条目即可消除告警；ROA 发布流程保持不变，业务零中断。建议尽快完成验证器配置更新，确保 RPKI 验证链路整洁。
原文: APNIC Blog（2018-02-27）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog