证书绑定的是号码资源
资源证书把公钥与证书中列出的IP地址范围或AS号资源联系起来，下级资源分配可形成相应证书路径。这种结构与互联网号码资源的分配层次衔接，让依赖者能核对某项资源授权是否有上级依据。
RPKI证书的目标是表达资源授权，不是证明一个描述性姓名属于哪个自然人或公司，也不是HTTPS网站证书的替代。能验证某公钥的资源范围，与相信该机构发表的所有内容，是不同判断。
参考：[1]
资源持有与路由宣告授权分开
拥有资源证书，不自动说明具体哪个AS可发起该地址前缀的路由宣告。ROA等签名对象把这种授权明确写出，依赖者再根据证书路径验证签名者确有相应资源权限，而不是仅检查对象里有没有一个数字签名。
整个体系还需要仓库发布证书、撤销信息和签名对象。路由验证软件获取并验证这些资料，再把可用授权作为路由策略的输入；BGP会话本身不因此变成携带所有证书或为每个用户数据包逐份验签的协议。
信任锚、更新与使用边界
依赖者从所配置的信任锚构建证书路径，并检查有效性与适用撤销状态。授权资料会随分配、密钥轮换和撤销变化，长期缓存不能只保存最初验证结果而停止更新；仓库中的签名和清单等结构也服务于资料完整性。
RPKI起源验证主要回答地址前缀的宣告起源是否获得授权，不验证AS_PATH中的每一跳，也不自动决定接受或丢弃哪条路由。本地策略、缓存更新和实际转发仍有各自机制，不能把“启用了RPKI”当成所有路由问题都已解决。