Если автоматическая смена сертификатов включена, службы AD FS будут управлять обновлением сертификата подписи маркера. Если ...

Если автоматическая смена сертификатов включена, службы AD FS будут управлять обновлением сертификата подписи маркера.
Если вы управляете сертификатами вручную, следуйте инструкциям ниже. 
Получите новый сертификат подписи маркера.
Убедитесь, что для расширенного использования ключа (EKU) включен параметр "Цифровая подпись". 
У субъекта или альтернативного имени субъекта (SAN) нет каких-либо ограничений. 
Помните, что серверам федерации, серверам федерации партнеров и серверам приложений проверяющих сторон требуется возможность для создания цепочки с доверенным корневым центром сертификации при проверке сертификата подписи маркера.
Установите сертификат в локальное хранилище сертификатов на каждом сервере федерации. 
Убедитесь, что файл установки сертификата содержит закрытый ключ сертификата на каждом сервере.
Убедитесь, что у учетной записи службы федерации есть доступ к закрытому ключу нового сертификата.
Добавьте новый сертификат в службы AD FS.
Запустите оснастку управления AD FS в меню "Администрирование".
Разверните узел "Служба" и выберите "Сертификаты".
В области действий щелкните "Добавить сертификат подписи маркера".
Вы увидите список сертификатов, допустимых для подписи маркера. Если нового сертификата нет в списке, вам необходимо вернуться и убедиться, что сертификат находится в личном хранилище сертификатов локального компьютера со связанным закрытым ключом и для него включена цифровая подпись.
Выберите новый сертификат подписи маркера и нажмите кнопку "ОК".
Сообщите всем проверяющим сторонам об изменении сертификата подписи маркера.
Проверяющие стороны, использующие метаданные федерации служб AD FS, должны извлечь новые метаданные федерации, чтобы начать использовать новый сертификат.
Проверяющие стороны, НЕ использующие метаданные федерации служб AD FS, должны вручную обновить открытый ключ нового сертификата подписи маркера. Передайте CER-файл проверяющим сторонам.
Сделайте новый сертификат подписи маркера основным.
Выберите узел "Сертификаты" в оснастке управления AD FS, после чего вы увидите два сертификата в разделе "Подпись маркера": существующий и новый.
Выберите новый сертификат подписи маркера, щелкните его правой кнопкой и выберите "Использовать как основной".
Оставьте старый сертификат для возможного отката. Запланируйте удаление старого сертификата, когда он больше не будет нужен для отката, или после истечения срока его действия. Помните, что сеансы единого входа текущих пользователей подписаны. Текущие отношения доверия прокси-сервера AD FS используют маркеры, подписанные и зашифрованные с помощью старого сертификата.