五大 RIR 自 2011 年起提供托管 RPKI，但跨 RIR 管理地址空间或需下放权限时，委派 RPKI 能在自建系统上统一签发 ROA。APNIC 配合 NLnet Labs 开源的 Krill 及其发布服务，让无需 HSM 也能落地委派 CA，全球已有 550 余家机构采用。
核心组件与职责划分：
委派 RPKI 由两大模块构成。证书颁发机构（CA）负责全部密码学操作，包括密钥生成、签名与证书维护；发布服务器则把证书与 ROA 对外公开。Krill 内置 CA 功能，APNIC 提供发布服务，二者结合即可组成完整链路。大多数场景下，Krill CA 作为子 CA 挂靠在 RIR 或 NIR 的父 CA 下，资源授权由父 CA 通过权利响应下发。
父子 CA 交互流程：
初始建立需人工完成两次 XML 交换：子 CA 先生成请求 XML 交给父 CA，父 CA 返回响应 XML 再导回子 CA。完成后，后续的资源权利请求、证书请求及相应响应均由双方自动协商，无需人工干预。这种机制既保留了资源所有权在父 CA 的控制权，又让子 CA 拥有自主签发 ROA 的能力。
部署决策与适用场景：
若组织同时隶属多个 RIR、需在单一界面管理跨区域 ROA，或希望将 RPKI 运维权限下放给业务部门或客户，委派 RPKI 是可行方案。Krill 提供直观 Web UI 与 REST API，降低了密码学门槛；配合 APNIC 发布服务，免去自建发布服务器的运维成本。原文未给出具体硬件规格要求，但强调无需昂贵 HSM 即可投产。
对网络工程师而言，Krill 将密码学细节封装在自动化流程与图形界面中，配合 RIR 发布基础设施，可在自有设备上完成跨 RIR ROA 统管与权限下放，显著降低引入硬件加密模块的工程门槛。
原文: APNIC Blog（2020-12-23）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog