docs: add consumer audience split and external deps

docs/ARCHITECTURE.md

@@ -10,6 +10,22 @@ Safe Kiddo Daemon ist ein FastAPI-basierter Service, der lokale Systemkonten ver
 - Systemaktionen via sudo/usermod/pkill/shutdown
 - Update-Client-Integration (externes Update-Service-Backend)
 
+## Externe Abhaengigkeiten
+- Update-Service (intern): https://git.wlkns.org/stephan/update-webservice
+- OIDC-Service (intern): https://git.wlkns.org/stephan/oicd
+
+## Integrationspunkte
+### Update-Service
+Die Update-Integration nutzt v1-Endpunkte des Update-Services:
+- `POST /v1/enroll` (Enrollment fuer Langzeit-Token)
+- `GET /v1/projects/{project_id}/manifest`
+- `POST /v1/projects/{project_id}/status`
+Der Langzeit-Token wird lokal in `SKD_UPDATE_TOKEN_FILE` gespeichert und fuer Manifest/Status als Bearer-Token verwendet.
+
+### OIDC-Service
+OIDC nutzt Discovery unter `/.well-known/openid-configuration` basierend auf `SKD_OIDC_ISSUER`.
+Der Login-Flow tauscht einen Code gegen ein ID-Token (RS256) und validiert es gegen JWKS.
+
 ## Module und Verantwortlichkeiten
 - `backend/app.py`: API-Routing, Web-UI-Endpunkte, Update-Endpunkte.
 - `backend/auth.py`: PAM-Login, JWT-Handling, Auth-Guards, Allowlists.
@@ -57,3 +73,7 @@ Safe Kiddo Daemon ist ein FastAPI-basierter Service, der lokale Systemkonten ver
 
 ## Spezifikationen
 - Update-Service OpenAPI: `docs/architecture/openapi.yaml` und `docs/architecture/openapi/`.
+
+## Weitere Dokumente
+- Entwicklung: `docs/DEVELOPMENT.md`
+- Deployment: `docs/DEPLOYMENT.md`