blog.icewolf.ch

Let's talk about IT!
posts - 1428, comments - 295, trackbacks - 0

My Links

Archives

Post Categories

icewolf

ADFS Replace Service communications Certificate

Hallo zusammen,

Im vorhergehenden Artikel habe ich euch ja gezeigt, wie man das GoDaddy Renewal Zertifikat im Certificate Store importiert und den private Key zuweist.

Das selbe Zertifikat nutze ich jedoch auch für meinen ADFS Server. Eine der Subject Alternative Names (SAN) lautet auf meine ADFS URL.

In den folgen Schritten zeige ich euch wie man das ADFS Service Communications Certificate ersetzt.

Im Certificate Store vom Local Computer muss man dem ADFS Service zugriff auf den Private Key geben und das geht so:

Zertifikat markieren -> All Tasks -> Manage Private Keys

Bei den Object Types "Service Accounts" aktivieren (fehlt nämlich in der standard Auswahl)

Und danach dem ADFS Service Account "Read" Permissions erteilen.

Prüfe ich das ADFS Zertifikat mit dem folgenden Befehl, so wird mir das aktuelle Zertifikat angezeigt.

Get-AdfsSslCertificate

Nun wechsle ich in die AD FS MMC Konsole. Dort unter Service --> Certificates --> Service communications -> Das Zertifikat markieren und auf der linken Seite "Set Service Communication Certificate" anklicken.

Nun wähle ich das neue Zertifikat aus (Gültig bis 2021)

Der Wizard weist mich darauf hin, dass wenn ich eine ADFS Farm habe, das Zertifikat auf allen ADFS Servern installiert sein muss, und auf allen Servern der ADFS Account auf den Private Key "Read" Permissions haben muss.

Wie man sieht, ist nun das neue Zertifikat gesetzt.

Mit folgenden PowerShell Befehl (als Admin Starten) kann ich mir die Zertifikate aus dem Local Machine Certificate Store anzeigen.

ls Cert:\LocalMachine\my

Ich prüfe das Zertifikat für die SSL Bindings im ADFS - ist immer noch das alte Zertifikat.

Get-AdfsSslCertificate

Mit folgendem Befehl setze ich das neue Zertifikat

Set-AdfsSslCertificate -Thumbprint <CertificateThumbprintNewCertificate>

Danach muss noch der ADFS Service neu gestartet werden

Restart-Service adfssrv

Ich prüfe ob das richtige Zertifikat verwendet wird https://ADFS-FQDN/adfs/ls/idpinitiatedsignon.htm

Und siehe da - alles in Ordnung.

Nun sollte man noch das alte Zertifikat aus dem Certificate Store entfernen. Es wird ja nicht mehr benötigt.

Weitere Informationen: https://blogs.technet.microsoft.com/tune_in_to_windows_intune/2013/11/13/replace-certificates-on-adfs-3-0/ 

Grüsse
Andres Bohren

Print | posted on Wednesday, August 21, 2019 6:39 PM | Filed Under [ O365 ]

Powered by:
Powered By Subtext Powered By ASP.NET