RPKI 现有 ROA 仅能授权路由源，无法证明资源持有者对任意文档的意图。RFC 9323 定义的 RPKI 签名清单（RSC）填补这一空白，允许持有者用互联网号码资源对任意文件签名，接收方可密码学验证持有者认证。
什么是 RPKI 签名清单：
RSC 是一种新型 RPKI 签名对象，资源持有者可将一组互联网号码资源绑定到任意文件或文档上生成签名。验证者通过 RPKI 证书链确认签名者确实持有这些资源的私钥。与 ROA 仅限路由授权不同，RSC 不限定载荷格式，持有者可自行决定签名内容。该机制复用现有 RPKI 基础设施，无需额外部署信任锚。RFC 9323 于 2023 年发布，标准化了对象格式与验证流程。
BYOIP 场景的简化应用：
AWS、OCI、Azure 等云厂商支持客户自带 IP 地址（BYOIP）发布 BGP 路由，但 ROA 无法证明客户对资源的控制权。现有流程要求客户生成自签名密钥、手工签名资源范围、将签名写入 whois 记录，步骤繁琐且各 RIR 验证方式不一。RSC 可替代该流程：客户直接对资源范围生成 RSC，云厂商统一按 RPKI 标准验证，省去 whois 交互，实现跨 RIR 一致性验证。原文未给出具体部署数据。
外部数据库验证与自定义应用：
PeeringDB 等外部互联数据库要求注册者邮箱域名与 RIR whois 记录匹配，安全性依赖邮箱控制权。改用 RSC 注册可直接证明注册者持有资源对应的 RPKI 签发权，提升注册安全性。此外，RSC 载荷由持有者自定，企业群体可约定私有对象规范并生成 RSC，无需经 IETF RFC 标准化即可实现临时路由相关功能，降低创新门槛。原文未给出具体采用案例。
对运维与网络工程师而言，RSC 将 RPKI 从单一路由授权扩展为通用资源持有证明工具。在 BYOIP 接入、互联数据库注册、内部协议扩展等场景，可替代人工 whois 操作，统一验证逻辑。部署需确认 CA 支持 RFC 9323 签发，验证端需更新校验器解析 RSC。
原文: APNIC Blog（2023-02-21）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog