„Bestätigt mit Google Wallet“ unterstützt drei Integrationspfade: zwei Onlinepfade (für Android-Apps und Websites) und einen persönlichen Pfad (für Lesegeräte und Kassenterminals). Wählen Sie Ihren Pfad aus, um zu beginnen.
Die drei Integrationspfade
Vertrauende Partei (Relying Party, RP)
Für einzelne Händler, Unternehmen oder App-Entwickler, die Nutzer direkt für ihre eigene Website oder Android-App bestätigen.
Verifier Registrar (VR)
Für IDV-Anbieter, Aggregatoren oder Plattformen, die Nutzer im Namen mehrerer nachgelagerter Unternehmen (End-RPs) überprüfen.
Persönliche Bestätigung
Bei Kassenterminals, Lesegeräten am Veranstaltungsort oder mobilen Verifizierungs-Apps, die mDLs offline verifizieren, funktioniert dies ohne Zulassungsliste von Google, wenn Ihr Terminal den Abruf von mDocs gemäß ISO/IEC 18013-5 unterstützt. Digitale Identitätsnachweise werden derzeit nicht persönlich unterstützt.
Onlinepfade vergleichen: Vertrauende Seite im Vergleich zu Verifier Registrar
| Aspekt | Vertrauende Partei (Relying Party, RP) | Verifier Registrar (VR) |
|---|---|---|
| Wer signiert Anfragen? | Google signiert Ihr Zertifikat (Sie reichen eine CSR ein) | Sie betreiben Ihre eigene Zertifizierungsstelle (Sandbox- und Produktions-Root-Zertifizierungsstellen) und signieren untergeordnete Zertifikate für End-RPs. |
| Sandbox-Anmeldedaten | Von Google freigegebene Sandbox-Testschlüssel und ‑Metadaten (sofort mit dem Testen beginnen) | Zertifikate, die von Ihrer eigenen Sandbox-Root-Zertifizierungsstelle signiert wurden, nachdem Google sie als vertrauenswürdig eingestuft hat |
| Wann Sie sich an Google wenden sollten | Am Ende (Schritt 5), nach Abschluss der Sandbox-Tests | Am Anfang (Schritt 1), um Ihre Sandbox- und Produktions-Root-CAs zu registrieren |
Online-Integrationsleitfaden
Wählen Sie Ihren Online-Integrationspfad aus, um die Schritte 1 bis 5 der Reihe nach auszuführen. Sie können die Schritte 1 und 2 (Sandbox- und Test-ID-Einrichtung) parallel ausführen, während Ihr Engineering-Team Schritt 3 ausführt.
Vertrauende Parteien (direkt)
Sandbox einrichten
Für den Test ist kein Antragsformular oder Genehmigung erforderlich. Fordern Sie die Aufnahme Ihres Google-Testkontos in die Sandbox-Zulassungsliste an, wechseln Sie auf einem Android-Testgerät in den Sandbox-Modus und laden Sie die freigegebenen Sandbox-Testschlüssel von Google und das Utopia-Sandbox-Zertifikat herunter.
Test-ID in der Sandbox erstellen
Verwenden Sie ein zweites Android-Gerät, auf dem der Utopia ePassport Simulator ausgeführt wird, um einen simulierten digitalen Identitätsnachweis in Google Wallet auf Ihrem Sandbox-Gerät bereitzustellen.
Als vertrauende Partei einbinden
Folgen Sie den vier Implementierungsschritten im Integrationsleitfaden für die vertrauende Seite:
- Schritt 3.A – Anfrage formatieren und signieren:Erstellen Sie die OpenID4VP-JSON-Abfrage und signieren Sie die JWS auf Ihrem Server.
- Schritt 3.B – API auslösen:Rufen Sie die Android-
CredentialManageroder die Web-navigator.credentials.get()auf. - Schritt 3.C – Antwort entschlüsseln und validieren:Entschlüsseln Sie das JWE und überprüfen Sie die IACA-Zertifikatskette und das MSO auf Ihrem Server.
- Schritt 3.D (optional) – Zero-Knowledge-Proofs hinzufügen:Altersprädikate überprüfen, ohne das Geburtsdatum des Nutzers zu erhalten.
Integration vollständig testen
Präsentiere deinen Utopia-Test-digitaler Identitätsnachweis für deinen Dienst, überprüfe jeden Punkt in der End-to-End-Checkliste (einschließlich der issuerAuth-Validierung anhand des Utopia-Sandbox-Zertifikats) und nimm ein Demonstrationsvideo auf.
Als vertrauende Seite live gehen
Reichen Sie das Onboarding-Formular für vertrauende Parteien mit Ihrer Produktions-CSR, Ihren Marken-Assets und dem E2E-Video für die Sandbox ein. Damit akzeptieren Sie die Nutzungsbedingungen für vertrauende Parteien. Nach der Genehmigung (in der Regel 3–5 Arbeitstage) sendet Google Ihnen Ihr signiertes Produktionszertifikat und die eindeutige gw_rp_metadata_bytes zurück.
Registrare für Verifizierer (Aggregatoren)
Stammzertifizierungsstellen einreichen und Sandbox einrichten
Reichen Sie zuerst das Onboarding-Formular für Verifizierungsstellen mit Ihren Sandbox- und Produktions-Root-CA-Zertifikaten ein und akzeptieren Sie die Nutzungsbedingungen für Verifizierungsstellen, damit Google Ihrer Sandbox-Root-CA vertrauen kann. Setzen Sie gleichzeitig Ihr Google-Testkonto auf die Zulassungsliste und wechseln Sie auf einem Android-Testgerät in den Sandbox-Modus.
Test-ID in der Sandbox erstellen
Verwenden Sie ein zweites Android-Gerät, auf dem der Utopia ePassport Simulator ausgeführt wird, um einen simulierten digitalen Identitätsnachweis in Google Wallet auf Ihrem Sandbox-Gerät bereitzustellen.
Als Verifier Registrar integrieren
Folgen Sie den fünf Implementierungsschritten im Integrationsleitfaden für Verifizierungsstellen:
- Schritt 3.A – CA- und CBOR-Metadaten konfigurieren: Richten Sie Ihr X.509-Zertifikatsprofil (OID
1.3.6.1.4.1.11129.10.1) und das CBOR-Metadatenschema ein. - Schritt 3.B – Anfrage formatieren und signieren: Erstellen Sie die OpenID4VP-JSON-Abfrage und signieren Sie die JWS mit Ihrem End-RP-untergeordneten Zertifikat.
- Schritt 3.C – API auslösen:Rufen Sie die Android-
CredentialManageroder die Web-navigator.credentials.get()auf. - Schritt 3.D – Antwort entschlüsseln und validieren:Entschlüsseln Sie die JWE und überprüfen Sie die IACA-Zertifikatskette und den MSO auf Ihrem Server.
- Schritt 3.E (optional) – Zero-Knowledge-Proofs hinzufügen:Altersprädikate überprüfen, ohne das Geburtsdatum des Nutzers zu erhalten.
Integration vollständig testen
Sobald Google Sie darüber informiert hat, dass Ihre Sandbox-Stammzertifizierungsstelle vertrauenswürdig ist, signieren Sie ein Test-End-RP-Zertifikat, vertrauen Sie dem Utopia-Sandbox-Zertifikat auf Ihrem Server, testen Sie mit Ihrem Utopia-Test-digitalen Identitätsnachweis und zeichnen Sie Demonstrationsvideos für sowohl vom Verifizierer als auch vom Händler gehostete Abläufe auf.
Als Verifier Registrar live gehen und End-RPs einbinden
Reiche deine E2E-Videos zur Überprüfung ein. Google genehmigt Ihre Videos und vertraut gleichzeitig Ihrer Produktions-Stammzertifizierungsstelle. Registrieren Sie dann jeden Downstream-Client mit dem Verifier Registrar Client Onboarding Form und stellen Sie untergeordnete Zertifikate mit einem global eindeutigen Distinguished Name aus.
Voraussetzungen
- Ein Server, der Anfragen erstellt und Antworten validiert. Generieren Sie die vollständige Anfrage auf Ihrem Server, auch für Android-Apps.
- Zwei Android-Geräte zum Testen: Auf einem Gerät wird der ePass-Simulator ausgeführt, auf dem anderen befindet sich der Testausweis in Google Wallet. Verwende dedizierte Testgeräte, da beim Wechsel zur Sandbox die Produktionsdaten von Wallet auf dem Gerät gelöscht werden.
- Ein Google-Konto mit der Endung@gmail.com, das Sie während des Tests in Google Wallet verwenden können.
- Ihre Anzeige-Assets für den Zustimmungsbildschirm: Anzeigename, Logo (siehe Markenrichtlinien), URL der Datenschutzerklärung und URL der Nutzungsbedingungen.