Office365 Exchange Hybrid No.26 ADFS更换证书

ADFS中有三种证书，令pai解密，令pai签名以及服务通信证书，这三种证书都是有有效期的，到期都需要进行更换，那其中令pai解密和令pai签名是ADFS自带的证书，无法更换，只需要指令更新即可，唯独服务通信证书，也就是常说的公网证书，需要进行重新导入，设置。如果在证书有效期内对公网证书进行了修改，如增加新的SAN会重新生成一张公网证书，那么这时候也是需要更换成新的公网证书的。



首先我们需要更新ADFS的令pai签名和令pai解密证书，在ADFS服务器上运行PowerShell命 令：
Update-AdfsCertificate -CertificateType:token-signing -Urgent:$true
Update-AdfsCertificate -CertificateType:Token-Decrypting -Urgent:$true
接下来我们需要连到Office365远程powershell，通过以下命令来更新联盟域（如果又多个联盟域请针对每个域名执行一次update命令）

Update-MsolFederatedDomain -DomainName ucssi.cn完成以上步骤后，将新的公网证书装到ADFS服务器上（注意应该是PFX格式），运行-mmc-添加证书-个人证书-导入，此部分比较简单就不占用过多篇幅来说明了。
安装完成公网证书后，在ADFS服务器上获取新证书的信息，主要查看其Thumbprint的值， 运行命令：dir cert:\localmachine\my | fl
通过以上命令我们可以获取到当前最新公网证书的Thumbprint的值（从生效日期到过期日期就能判别出来）
然后，使用如下命令更新ADFS服务器上的服务通信证书ThumbPrint值：
Set-AdfsCertificate -CertificateType Service-Communications -Thumbprint #你的证书Thumbprint值#
Set-AdfsSslCertificate -Thumbprint #你的证书Thumbprint值#
以上步骤完成后，记得重启ADFS服务，可以在图形化界面重启ADFS服务，也可以使用以下命令重启ADFS服务

Restart-Service adf***v
最后，还需要连接Office365远程powershell更新联盟域（如果又多个联盟域请针对每个域名执行一次update命令）
Update-MsolFederatedDomain -DomainName ucssi.cn
以上是更换ADFS服务器证书的步骤，那么ADFS Proxy服务器上的公网证书如何更换呢?方法也很简单，同样需要将最新的公网证书导入服务器，然后使用dir cert:\localmachine\my | fl命令来获取最新公网证书的Thumbprint值，然后使用以下命令更新ADFS Proxy证书Set-WebApplicationProxySslCertificate –Thumbprint #你的证书Thumbprint值#运行完成后需要重启ADFS和Web Application Proxy 服务
完成以上所有步骤后即可完成整个ADFS证书更换。
小总结：ADFS证书更换并不是将新证书导入，然后在ADFS管理中心选择新证书那么简单。也是需要给这个证书分配服务的，这点通过Exchange的证书来理解就恍然大悟了！