Seminar vLEI – Technische Architektur mit KERI, ACDC und IPEX

Die vLEI-Vertrauenskette benötigt mehr als ein Credential-Format. Schlüsselkontrolle, delegierte AIDs, Witnessing, unveränderliche Schemas, Credential-Registries, Exchange-Protokolle und Verifier müssen als zusammenhängende Infrastruktur betrieben werden.

Inhaltsübersicht

• Seminarprofil
• Zielgruppe
• Lernziele
• Seminarinhalte
• Praxisanteile
• Voraussetzungen

Seminarprofil

Der Kurs ist ein technischer Architektur- und Integrationsworkshop. Teilnehmer erstellen Komponentenmodell, Datenflüsse, Key- und Credential-Lifecycle, Verifier-Pipeline, HA-Konzept und Sicherheitskontrollen.

Zielgruppe

vLEI- und QVI-Architekten, KERI/ACDC-Entwickler, Plattform- und DevOps-Teams, Security Engineers, Verifier-Entwickler und technische Auditoren.

Lernziele

• vLEI-AID- und Delegationshierarchie technisch modellieren
• Key Management, Witnesses und Watchers sicher entwerfen
• ACDC-Schemas, Registries und Credential Chains implementierbar spezifizieren
• IPEX- und Verifier-Flows end-to-end integrieren
• Produktionsbetrieb, HA, Monitoring und Recovery planen

Seminarinhalte

Schritt 1: Gesamtarchitektur und Trust Boundaries modellieren

GLEIF-nahe Trust Anchors, QVI, Legal Entity, Agenten, Witnesses, Watchers, Schema- und Registry-Dienste, Holder und Verifier werden in Komponenten und Datenflüsse zerlegt.

• Kontroll- und Datenebene trennen
• Mandanten- und Rollenisolierung markieren
• externe Abhängigkeiten und SLAs erfassen

Schritt 2: AID-Hierarchie und Delegation entwerfen

Root-, QVI-, Legal-Entity- und Rollenbezogene AIDs werden mit Delegations- und Schlüsselkontrollbeziehungen abgebildet. Transferierbarkeit, Thresholds und Anchoring werden risikogerecht festgelegt.

• Delegator und Delegatee korrekt koppeln
• Key State je Ebene ableiten
• Entzug und Recovery planen

Schritt 3: Key Management und Signing Infrastructure absichern

Current Keys, Next Keys, HSM- beziehungsweise Offline-Schutz, Multi-Signatur, Agentenzugriff, Backup und Key Ceremonies werden nach Schutzklasse organisiert.

• Schlüsselmaterial minimieren und klassifizieren
• Signing und Administration trennen
• Rotation und Notfallübung planen

Schritt 4: Witness- und Watcher-Infrastruktur dimensionieren

Pools, Schwellen, Betreiberdiversität, Receipts, Discovery und Duplicity-Evidenz werden in eine hochverfügbare Topologie übersetzt.

• Failure Domains verteilen
• Receipt-Schwellen überwachen
• Watcher-Sichten und Eskalation definieren

Schritt 5: ACDC-Credential-Profile implementieren

Credential-Typen werden mit Schema-SAIDs, Attributes, Rules, Sources und Ziel-AIDs abgebildet. Vollständige, komprimierte und schema-komprimierte Formen werden berücksichtigt.

• Schema- und Datenbindung prüfen
• Credential-Typen strikt profilieren
• Disclosure- und Retrieval-Regeln festlegen

Schritt 6: Registry- und Statusdienste entwerfen

Issuance- und Revocation-Ereignisse werden hochverfügbar veröffentlicht und beobachtet. Konsistenz, Replikation, Caching, Replay und Audit werden für Verifier-Anforderungen ausgelegt.

• Statuslatenz definieren
• Rollback und Split-Brain erkennen
• Restore und Replay validieren

Schritt 7: IPEX-End-to-End-Flows integrieren

Apply, Offer, Agree, Grant, Admit und Spurn werden für Credential-Ausgabe und Präsentation in Agenten- und Fachprozesse eingebettet.

• Exchange-Zustände persistent machen
• partielle und vollständige Offenlegung kontrollieren
• Timeout, Retry und Idempotenz umsetzen

Schritt 8: Verifier-Service implementierbar spezifizieren

Der Verifier prüft Parsing, SAID, Signatur, Key State, Schema, Registry, Quellenkette, Rollenbedeutung und lokale Policy. APIs liefern maschinenlesbare Ergebnisse und Evidenzreferenzen.

• Prüfschritte modularisieren
• Fehlerklassen und Codes definieren
• Cache und Freshness je Artefakt festlegen

Schritt 9: Security und Privacy Engineering durchführen

Threat Modeling umfasst Schlüsselkompromittierung, falsche Issuance, Replay, Duplicity, Registry-Manipulation, Korrelation und übermäßige Protokollierung.

• Angriffspfade priorisieren
• Datenminimierung durchsetzen
• Controls und Tests zuordnen

Schritt 10: Produktionsbetrieb und Recovery planen

Deployment, Skalierung, Monitoring, Patch, Backup, Restore, Disaster Recovery, Incident Response und Change Management werden als Betriebsarchitektur dokumentiert.

• SLOs und Alarmierung festlegen
• chaos- und recoverybezogene Tests planen
• Runbooks und Verantwortlichkeiten abschließen

Praxisanteile

• vLEI-Komponenten- und AID-Hierarchie modellieren
• Credential-Profil und Registry-Flow spezifizieren
• IPEX- und Verifier-Sequenz entwerfen
• HA-, Security- und Recovery-Konzept erstellen

Voraussetzungen

Solide KERI- und ACDC-Grundkenntnisse, JSON, API-Architektur, Public-Key-Kryptographie und Erfahrung mit verteilten Systemen.