Seminar swiyu – Generic Issuer und Credential Lifecycle

Der Generic Issuer verbindet ein internes Fachsystem mit dem Swiss-Profile-konformen Issuance-Protokoll. Das Seminar führt von Deployment und Metadaten über SD-JWT-VC-Ausgabe und Statuslisten bis zu Suspendierung, Reaktivierung, Widerruf, Deferred Issuance und produktionsnaher Härtung.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Generic Issuer, Datenbank, Fachsystem und öffentliche OID4VCI-Endpunkte sicher bereitstellen
• Credential-Konfigurationen, Swiss-Profile-Metadaten und SD-JWT-VC-Claims korrekt modellieren
• Credential Offer, Token- und Credential-Flows einschließlich Deferred Issuance integrieren
• Statuslisten, Lifecycle-Operationen, Sicherheit, Monitoring und Tests beherrschen

Zielgruppe

Backend- und Integrationsentwickler, DevOps, Issuer-Betreiber, technische Architekten, Datenmodellierer und QA.

Voraussetzungen

Gute Kenntnisse in Java- oder vergleichbarer Backend-Entwicklung, REST, OAuth, JWT, JSON, Containerbetrieb und Datenbanken. swiyu-DID und Registry-Onboarding müssen verstanden sein.

Seminarinhalte

1. Schritt 1: Issuer-Architektur und Netzgrenzen festlegen

   Internes Fachsystem, Management API, öffentliche OID4VCI-Endpunkte, Datenbank, Schlüsselkomponente, Status Registry und Monitoring werden mit Kommunikationswegen und Schutzbedarf modelliert.

2. Schritt 2: Dienst und Datenbank bereitstellen

   Container, persistente Daten, Konfiguration, Health Checks, TLS-Terminierung, interne Erreichbarkeit und getrennte Umgebungen werden reproduzierbar aufgebaut.

3. Schritt 3: DID- und Signaturschlüssel anbinden

   Issuer DID, SD-JWT-Signaturschlüssel, Statuslisten-Schlüssel und passende Verification Methods werden zugeordnet. Direkte Schlüsseldateien werden gegen HSM- oder Secret-Manager-Varianten bewertet.

4. Schritt 4: OpenID- und Issuer-Metadaten konfigurieren

   Externe URL, Endpunkte, Credential-Konfigurationen, Formate, Algorithmen, Authorization Server und profilbezogene Angaben werden konsistent veröffentlicht und validiert.

5. Schritt 5: Credential Type und Darstellung modellieren

   vct, Claim-Struktur, selektive Offenlegung, Datentypen, Type Metadata, Integritätsbezug und OCA-Darstellung werden mit dem Fachsystemvertrag abgestimmt.

6. Schritt 6: Statusliste initialisieren

   Token Status List, Größe, Bits, Signatur, Registry-URL, Kapazitätsplanung und Datenschutz werden vorbereitet. Indexvergabe und Wiederverwendung erhalten klare Regeln.

7. Schritt 7: Credential Offer erzeugen

   Interne Issuer-Anfrage, Credential-Konfiguration, Claim-Daten, Statusreferenz, Gültigkeit und Offer-Parameter werden validiert und als Deep Link oder QR-fähige Referenz bereitgestellt.

8. Schritt 8: OID4VCI-Flow ausführen

   Wallet-Metadatenabruf, Autorisierung oder Vorautorisierung, Token, Proof, Credential Request, Ausgabe und Fehlerantworten werden mit Protokollmitschnitt geprüft.

9. Schritt 9: Deferred Issuance integrieren

   Transaktions-ID, Polling-Intervall, fachliche Freigabe, Ablauf und Idempotenz werden für Nachweise mit verzögerter Erstellung umgesetzt.

10. Schritt 10: Credential Lifecycle steuern

    Suspendierung, Reaktivierung, Widerruf, Statuslistenaktualisierung, Nachweis im Fachsystem und Auswirkungen auf bereits ausgestellte Credentials werden praktisch behandelt.

11. Schritt 11: Härtung und Betrieb vorbereiten

    Management-API-Schutz, Secrets, HSM, Datenbankrechte, Logging, personenbezogene Daten, Rate Limits, Backup, Schlüsselrotation und Profilversionierung werden geprüft.

12. Schritt 12: Automatisierte Tests und Abnahme aufbauen

    Mock Wallet, positive und negative Issuance-Fälle, Statuswechsel, Wiederholungen, Time-outs, ungültige Claims und Metadatenabweichungen werden in eine CI-fähige Testfolge überführt.

Praxisübungen

• Generic Issuer mit Datenbank und getrennten Endpunktzonen bereitstellen
• Credential-Konfiguration mit SD-JWT-VC-Claims und OCA-Bezug erstellen
• Credential Offer und vollständigen OID4VCI-Flow ausführen
• Suspendierung, Reaktivierung und Widerruf prüfen
• Negativtests für Metadaten, Proof, Status und Schlüsselzuordnung automatisieren

Methodik

Fachvortrag, Deployment-Labor, Konfigurations- und Payload-Reviews, API-Integration, Lifecycle-Übungen und Testautomatisierung. Vier Tage sind notwendig, weil Bereitstellung, Profilkonfiguration, Issuance sowie Status- und Betriebsfunktionen aufeinander aufbauen.