自動証明書ロールオーバーが有効な場合 AD FS がトークン暗号化解除証明書を管理します 証明書を手動で管理する場合は 以下の手順に従ってください 新しいトークン暗号化解除証明書を取得します 拡張キー使用法 (EKU) に キーの暗号化 が含まれることを確認します ...

自動証明書ロールオーバーが有効な場合、AD FS がトークン暗号化解除証明書を管理します。
証明書を手動で管理する場合は、以下の手順に従ってください。
新しいトークン暗号化解除証明書を取得します。
拡張キー使用法 (EKU) に [キーの暗号化] が含まれることを確認します。
サブジェクトまたはサブジェクトの別名 (SAN) には制限がありません。
フェデレーション サーバーおよびクレーム プロバイダー パートナーがトークン暗号化解除証明書を検証するときには、信頼されたルート証明機関へのチェーンを構築できる必要があることに留意してください。
新しいトークン暗号化解除証明書をクレーム プロバイダー パートナーが信頼する方式を決定します。
証明書の更新後にフェデレーション メタデータをプルするようにパートナーに依頼します。
新しい証明書 (.cer ファイル) の公開キーをパートナーと共有します。クレーム プロバイダー パートナーの AD FS サーバーで、[管理ツール] メニューから AD FS 管理を起動します。[信頼関係] / [証明書利用者信頼] で、自分のために作成された信頼を選択します。[プロパティ] / [暗号化] の下にある [参照] をクリックして、新しいトークン暗号化解除証明書を選び、[OK] をクリックします。
証明書を、各フェデレーション サーバーのローカル証明書ストアにインストールします。
各サーバーで証明書インストール ファイル内に証明書の秘密キーがあることを確認します。
フェデレーション サービス アカウントに、新しい証明書の秘密キーへのアクセス権限があることを確認します。
新しい証明書を AD FS に追加します。
[管理ツール] メニューから AD FS 管理を起動します
サービスを展開し、証明書を選択します
操作ウィンドウで、[トークン暗号化解除証明書の追加] をクリックします
トークン暗号化解除が有効な証明書のリストが表示されます。該当する新しい証明書がリストに含まれない場合は、前の手順に戻り、証明書が秘密キーと関連付けられてローカル コンピューターの個人用ストアに存在することを確認してください。また、拡張キー使用法として [キーの暗号化] が証明書に含まれることを確認してください。
新しいトークン暗号化解除証明書を選び、[OK] をクリックします。
新しいトークン暗号化解除証明書をプライマリとして設定します。
AD FS 管理で証明書ノードが選択された状態で、[トークン暗号化解除] の下に、既存の証明書と新しい証明書の 2 つが表示されているはずです。
新しいトークン暗号化解除証明書を選び、右クリックして [プライマリに設定する] を選びます。
既存の証明書は、ロールオーバーのためにセカンダリにしておきます。既存の証明書がロールオーバー用として明らかに必要なくなった時点で、または期限が切れた時点でその証明書を削除することを検討してください。