Получите новый сертификат подписи маркера. Убедитесь, что для расширенного использования ключа (EKU) включен параметр "Цифровая ...

Получите новый сертификат подписи маркера.
Убедитесь, что для расширенного использования ключа (EKU) включен параметр "Цифровая подпись". 
У субъекта или альтернативного имени субъекта (SAN) нет ограничений.  
Помните, что вашим серверам федерации, серверам федерации партнеров и серверам приложений проверяющей стороны требуется возможность создания цепочки с доверенным корневым центром сертификации при проверке сертификата подписи маркера.
Установите сертификат в локальном хранилище сертификатов на каждом сервере федерации. 
Убедитесь, что файл установки сертификата содержит закрытый ключ на каждом сервере.
Убедитесь, что у учетной записи службы федерации есть доступ к закрытому ключу нового сертификата.
Добавьте новый сертификат в службы AD FS.
Запустите оснастку управления AD FS в меню "Администрирование".
Разверните узел "Служба" и выберите "Сертификаты".
В области действий щелкните "Добавить сертификат подписи маркера".
Вы увидите список сертификатов, допустимых для подписи маркера. Если нового сертификата нет в списке, вернитесь и убедитесь, что сертификат находится в личном хранилище сертификатов локального компьютера со связанным ключом и для него включена цифровая подпись.
Выберите новый сертификат подписи маркера и нажмите "ОК".
Сообщите всем проверяющим сторонам об изменении сертификата подписи маркера.
Проверяющие стороны, использующие метаданные федерации служб AD FS, должны извлечь новые метаданные федерации, чтобы начать использовать новый сертификат.
Проверяющие стороны, НЕ использующие метаданные федерации служб AD FS, должны вручную обновить открытый ключ нового сертификата подписи маркера. Передайте CER-файл проверяющим сторонам.
Сделайте новый сертификат подписи маркера основным.
Выберите узел "Сертификаты" в оснастке управления AD FS, после чего вы увидите два сертификата в разделе "Подпись маркера": новый и существующий.
Выберите новый сертификат подписи маркера, щелкните его правой кнопкой мыши и выберите "Использовать как основной".
Оставьте старый сертификат для возможного отката. Запланируйте удаление старого сертификата, когда вы будете уверены, что он не нужен для отката, или после истечения срока его действия. Помните, что сеансы единого входа текущих пользователей подписаны. Текущие отношения прокси-сервера AD FS используют маркеры, подписанные и зашифрованные с помощью старого сертификата.