「Google ウォレットで確認済み」は、3 つの統合パスをサポートしています。2 つのオンライン パス（Android アプリとウェブサイト用）と 1 つの対面式 パス（近接リーダーと POS 端末用）です。プログラムを選択して開始してください。
3 つの統合パス
証明書利用者（RP）
自社のウェブサイトまたは Android アプリでユーザーを直接確認する個人の販売者、企業、アプリ デベロッパー。
検証担当者登録者（VR）
複数のダウンストリーム ビジネス（エンド RP）に代わってユーザーを確認する IDV プロバイダ、アグリゲータ、プラットフォーム。
対面式での本人確認
POS 端末、会場のリーダー、モバイル認証アプリで mDL をオフラインで認証する場合 - 端末が ISO/IEC 18013-5 mdoc 取得をサポートしている場合は、Google の許可リストに登録されていなくても機能します（ID パスは現在、対面ではサポートされていません）。
オンライン パスの比較: 証明書利用者と検証者登録機関
| アスペクト | 証明書利用者（RP） | 検証担当者登録者（VR） |
|---|---|---|
| 署名付きリクエストに署名するユーザー | Google が証明書に署名する（CSR を送信する） | 独自の CA（サンドボックス + 本番環境のルート CA）を運用し、エンド RP のリーフ証明書に署名する |
| サンドボックスの認証情報 | Google の共有サンドボックス テストキーとメタデータ（すぐにテストを開始できます） | Google が信頼した後に、独自のサンドボックス ルート CA によって署名された証明書 |
| Google に問い合わせるタイミング | 最後（ステップ 5）: サンドボックスでのテストが完了した後 | 開始時（ステップ 1）: サンドボックスと本番環境のルート CA を登録する |
オンライン統合ガイド
オンライン統合パスを選択し、ステップ 1 から 5 を順番に実行します。エンジニアリング チームがステップ 3 を構築している間に、ステップ 1 と 2（サンドボックスとテスト ID の設定）を並行して完了できます。
証明書利用者（直接）
サンドボックスを設定する
テストを開始するにあたって、登録フォームの提出や承認は必要ありません。テスト用の Google アカウントをサンドボックスの許可リストに登録するようリクエストし、テスト用の Android デバイスをサンドボックス モードに切り替えて、Google の共有サンドボックス テストキーと Utopia サンドボックス証明書をダウンロードします。
サンドボックスでテスト ID を作成する
Utopia ePassport Simulator を実行している 2 台目の Android デバイスを使用して、サンドボックス デバイスの Google ウォレットにシミュレートされた ID パスをプロビジョニングします。
証明書利用者として統合する
Relying Party 統合ガイドに記載されている 4 つの実装手順に沿って対応します。
- ステップ 3.A - リクエストのフォーマットと署名: OpenID4VP JSON クエリを作成し、サーバーで JWS に署名します。
- ステップ 3.B - API をトリガーする: Android
CredentialManagerまたはウェブnavigator.credentials.get()を呼び出します。 - ステップ 3.C - レスポンスを復号して検証する: JWE を復号し、サーバーで IACA 証明書チェーンと MSO を検証します。
- ステップ 3.D（省略可）- ゼロ知識証明を追加する: ユーザーの生年月日を受け取らずに年齢述語を検証します。
統合をエンドツーエンドでテストする
サービスに対してユートピア テスト ID パスを提示し、エンドツーエンドのチェックリストのすべての項目（ユートピア サンドボックス証明書に対する issuerAuth 検証を含む）を確認して、デモ動画を録画します。
証明書利用者として本番環境に移行する
本番環境の CSR、ブランディング アセット、サンドボックスのエンドツーエンド動画を添付して、Relying Party Onboarding Form を送信します（Relying Party ToS に正式に同意します）。承認されると（通常は 3 ～ 5 営業日）、Google から署名済みの本番環境証明書と一意の gw_rp_metadata_bytes が返されます。
検証者登録事業者（アグリゲータ）
ルート CA を送信してサンドボックスを設定する
まず、Sandbox と本番環境のルート CA 証明書を添付して Verifier Registrar Onboarding Intake Form を送信し（Verifier Registrar 利用規約に同意）、Google が Sandbox ルート CA を信頼できるようにします。同時に、テスト用の Google アカウントを許可リストに登録し、テスト用の Android デバイスをサンドボックス環境モードに切り替えます。
サンドボックスでテスト ID を作成する
Utopia ePassport Simulator を実行している 2 台目の Android デバイスを使用して、サンドボックス デバイスの Google ウォレットにシミュレートされた ID パスをプロビジョニングします。
検証者登録機関として統合する
Verifier Registrar 統合ガイドに記載されている 5 つの実装手順に沿って操作します。
- ステップ 3.A - CA と CBOR のメタデータを構成する: X.509 証明書プロファイル（OID
1.3.6.1.4.1.11129.10.1）と CBOR メタデータ スキーマを設定します。 - ステップ 3.B - リクエストの形式設定と署名: OpenID4VP JSON クエリを作成し、エンド RP リーフ証明書で JWS に署名します。
- ステップ 3.C - API をトリガーする: Android の
CredentialManagerまたはウェブのnavigator.credentials.get()を呼び出します。 - ステップ 3.D - レスポンスを復号して検証する: JWE を復号し、サーバーで IACA 証明書チェーンと MSO を検証します。
- ステップ 3.E（省略可）- ゼロ知識証明を追加する: ユーザーの生年月日を受け取らずに年齢述語を検証します。
統合をエンドツーエンドでテストする
Sandbox ルート CA が信頼されたことが Google から通知されたら、テスト用のエンド RP 証明書に署名し、サーバーで Utopia Sandbox 証明書を信頼し、Utopia テスト ID パスでテストして、検証ツールホスト型フローと販売者ホスト型フローの両方のデモ動画を録画します。
検証者登録事業者として稼働し、エンド RP をオンボーディングする
審査のために E2E 動画を提出します。Google は、動画を承認すると同時に、本番環境のルート CA を信頼します。次に、検証者登録機関クライアント オンボーディング フォームを使用して各ダウンストリーム クライアントを登録し、グローバルに一意の識別名を持つリーフ証明書を発行します。
開始前の準備
- リクエストを作成し、レスポンスを検証するサーバー。Android アプリの場合でも、サーバーで完全なリクエストを生成します。
- テスト用の 2 台の Android デバイス: 1 台は ePassport シミュレータを実行し、もう 1 台は Google ウォレットにテスト ID を保持します。サンドボックスに切り替えると、デバイスの本番環境のウォレット データが削除されるため、専用のテストデバイスを使用してください。
- テスト中に Google ウォレットで使用する @gmail.com の Google アカウント。
- 同意画面の表示アセット: 表示名、ロゴ（ブランド ガイドラインを参照）、プライバシー ポリシーの URL、利用規約の URL。