Si la sustitución automática de certificados está habilitada, AD FS administrará la actualización del certificado de firma ...

Si la sustitución automática de certificados está habilitada, AD FS administrará la actualización del certificado de firma de tokens.
Si administra su certificado manualmente, siga las siguientes instrucciones. 
Obtenga un nuevo certificado de firma de tokens.
Asegúrese de que el uso mejorado de clave (EKU) incluya "Firma digital". 
El firmante o el nombre alternativo del firmante (SAN) no tienen ninguna restricción. 
Recuerde que los servidores de federación, los servidores de federación del asociado de recurso y los servidores de aplicación de usuario de confianza deben poder conectar con una entidad de certificación raíz de confianza al validar su certificado de firma de tokens.
Instale el certificado en el almacén de certificados local de cada servidor de federación. 
Asegúrese de que el archivo de instalación del certificado tenga la clave privada del certificado en cada servidor.
Asegúrese de que la cuenta del Servicio de federación tenga acceso a la nueva clave privada del certificado.
Agregue el nuevo certificado en AD FS.
Inicie la Administración de AD FS desde el menú Herramientas administrativas.
Expanda Servicio y seleccione Certificados
En el panel Acciones, haga clic en Agregar certificado de firma de tokens...
Se mostrará una lista de certificados válidos para la firma de tokens. Si el nuevo certificado no se presenta en la lista, deberá retroceder y asegurarse de que se encuentre en el almacén personal del equipo local con la clave privada asociada y de que el certificado tenga el KU de firma digital.
Seleccione su nuevo certificado de firma de tokens y haga clic en Aceptar
Informe a todos los usuarios de confianza sobre el cambio en el certificado de firma de tokens.
Los usuarios de confianza que consumen metadatos de federación de AD FS deben extraer los nuevos metadatos de federación para empezar a usar el nuevo certificado.
Los usuarios de confianza que NO consumen metadatos de federación de AD FS deben actualizar manualmente la clave pública del nuevo certificado de firma de tokens. Comparta el archivo .cer con los usuarios de confianza.
Configure el nuevo certificado de firma de tokens como Principal.
Con el nodo Certificados seleccionado en Administración de AD FS, ahora debería ver dos certificados bajo Firma de tokens: el certificado existente y el nuevo.
Seleccione el nuevo certificado de firma de tokens, haga clic con el botón secundario y seleccione Establecer como principal
Deje el certificado antiguo como secundario para fines de sustitución. Debería quitar el certificado antiguo una vez esté seguro de que ya no lo necesitará para la sustitución, o bien cuando este expire. Recuerde que las sesiones de SSO de usuario actuales están firmadas. Las relaciones de confianza actuales de proxy de AD FS usan tokens que están firmados o cifrados con el certificado antiguo.