Se a substituição automática do certificado estiver habilitada, o AD FS gerenciará o Certificado de Assinatura de Token. ...

Se a substituição automática do certificado estiver habilitada, o AD FS gerenciará o Certificado de Assinatura de Token.
Se você gerenciar seu certificado manualmente, siga as instruções abaixo. 
Obtenha um novo Certificado de Descriptografia de Token.
Verifique se o Uso Avançado de Chave (EKU) inclui "Codificação de Chave". 
O Nome da Entidade ou Nome Alternativo da Entidade (SAN) não têm restrições. 
Lembre-se de que seus Servidores de Federação e Parceiros do Provedor de declarações precisam ser capazes de encadear para uma autoridade de certificado raiz confiável ao validar seu certificado de Descriptografia de Token.
Decida como seus parceiros do Provedor de declarações confiarão no novo certificado de Descriptografia de Token. 
Peça aos parceiros para solicitar os Metadados da Federação após atualizar o certificado.
Compartilhe a chave pública do novo certificado (arquivo .cer) com os parceiros. No servidor do AD FS do parceiro do Provedor de declarações, inicie o gerenciamento do AD FS no menu de Ferramentas Administrativas. Em Relações confiáveis/terceira parte confiável, selecione a confiança que foi criada por você. Clique em "Pesquisar" em Propriedades/Criptografia para selecionar o novo certificado de Descriptografia de Token e clique em OK.
Instale o certificado no repositório de certificados local em cada Servidor de Federação. 
Verifique se o arquivo de instalação do certificado tem a Chave Privada do certificado em cada servidor.
Verifique se a Conta do Serviço de Federação tem acesso à chave privada do novo certificado.
Adicione o novo certificado ao AD FS.
Inicie o Gerenciamento do AD FS no menu Ferramentas Administrativas.
Expanda Serviço e selecione Certificados
No painel Ações, clique em Adicionar Certificado de Assinatura de Token.
Você será apresentado com uma lista de certificados que são válidos para Assinatura de Token. Se você descobrir que seu novo certificado não está sendo apresentado na lista, pode ser necessário voltar e garantir que o certificado esteja no repositório pessoal do computador local com a chave privada associada e que o certificado tenha Descriptografia de chave como Uso de chave estendida.
Selecione seu novo certificado de Descriptografia do Token e clique em OK
Defina o novo Certificado de Descriptografia de Token como Primário.
Com o nó dos certificados no Gerenciamento do AD FS selecionado, você deve exibir dois certificados listados na Descriptografia de Token: o certificado existente e o novo.
Selecione seu novo certificado de Descriptografia de Token, clique com o botão direito do mouse e selecione Definir como primário.
Deixe o certificado antigo como secundário para propósito de rolagem. Você deve planejar remover o certificado antigo quando tiver certeza de que não é mais necessário para rolagem ou quando o certificado expirar.