本文提供更改 Active Directory 联合身份验证服务 2.0 服务通信证书的步骤。
适用于： Windows Server 2008 R2 Service Pack 1原始 KB 数： 2921805
现象
用户想要了解如何在Active Directory 联合身份验证服务（AD FS）2.0 服务通信证书过期后或其他原因更改证书。
解决方法
替换现有的 AD FS 2.0 服务器服务证书是一个多步骤过程。
步骤 1
将新证书安装到本地计算机证书存储中。 要执行此操作，请执行以下步骤：
- 选择“开始”，然后选择“运行”。
- 键入 MMC。
- 在“文件”菜单中，选择“添加/删除管理单元”。
- 在“可用的管理单元”列表中，选择“证书”，然后选择“添加”。 证书管理单元向导启动。
- 选择“计算机帐户”，然后选择“下一步” 。
- 选择 **“本地计算机：”（运行此主机的计算机），**然后选择“ 完成”。
- 选择“确定”。
- 扩展控制台根\证书(本地计算机)\个人\证书。
- 右键单击“证书”，选择“所有任务”，然后选择“导入”。
步骤 2
将权限添加到 AD FS 服务帐户，以访问新证书的私钥。 要执行此操作，请执行以下步骤：
-
在本地计算机证书存储仍处于打开状态的情况下，选择已导入的证书。
-
右键单击证书，选择“所有任务”，然后选择“管理私钥”。
-
添加运行 ADFS 服务的帐户，然后至少授予该帐户读取权限。
注意
如果没有管理私钥的选项，可能需要运行以下命令：
certutil -repairstore my *
步骤 3
使用 IIS 管理器将新证书绑定到 AD FS 网站。 要执行此操作，请执行以下步骤：
- 打开“Internet Information Services (IIS) 管理器”管理单元。
- 浏览到默认网站。
- 右键单击“默认网站”，然后选择“编辑绑定”。
- 选择“HTTPS 绑定”，然后选择“编辑”。
- 在 SSL 证书标题下选择正确的证书。
- 选择“确定”，然后选择“关闭”。
步骤 4
将 AD FS 服务器服务配置为使用新证书。 要执行此操作，请执行以下步骤：
-
打开 AD FS 2.0 管理。
-
浏览到 AD FS 2.0\Service\Certificates。
-
右键单击“证书”，然后选择“设置服务通信证书”。
-
从证书选择 UI 中选择新证书。
-
选择“确定”。
注意
你可能会看到包含以下消息的对话框： 证书密钥长度小于 2048 位。 密钥大小小于 2048 位的证书可能存在安全风险，不建议使用。 是否继续?
阅读消息后，选择“是”。 将显示另一个对话框。 它包含以下消息：
确保所选证书的私钥可供服务器场中每台服务器上的此联合身份验证服务的服务帐户访问。
它已在步骤 2 中完成。 选择“确定”。
仍需帮助？ 转到 Office 365 社区。