Как автономно поменять сертификат служб ADFS?

Question

[WSGlebKavash]

Журнал ошибок Windows

Служба федерации Active Directory не может запуститься. Система выдаёт ошибку: Служба "Active Directory Federation Services" завершена из-за ошибки Ошибка службы при обработке команды.
Расковыряв журнал Windows таки удалось найти ошибку. Система ругается на сертификаты. Действительно, срок действия сертификата истёк уже давным давно (этот сервер вообще редко используется), но как его обновить? Для обновления сертификатов требуется чтоб служба работала, но она не может запуститься.
Какие есть варианты решения задачи?

Comments

[MVV]

Вы точно ничего не попутали? Запуск самой по себе службы ADFS от сертифкатов, вроде как, не зависит: только что запустил без проблем древнюю вируталку под Win2012R2 с давно протухшим сертификатом. Выкладывайте событие ошибки, желательно - в текстовом виде: в окне просмотра событий есть для этого кнопка Копировать.

[WSGlebKavash]

MVV, А как прнять, по какой причине оно не запускается?

[MVV]

WSGlebKavash, вы же писали: "Система ругается на сертификаты". Вот и сообщите, что это за "ругается" там у вас.

[Роман Безруков]

WSGlebKavash, для запуска службы ADFS сертификат не нужен...
у вас 381 ошибка, в которой явно говорится, что проблема в построении цепочки сертификатов.
А это говорит о том, что у вас прокис корневой/промежуточный сертификат и/или недоступны соответствующие списки отзыва (CRL). В ошибках указаны отпечатки сертификатов - по ним можно определить невалидный сертификат.
Кстати, что показывает Get-AdfsSslCertificate?
Certificate Requirements for Federation Servers
ADFS Certificates explained

[WSGlebKavash]

Роман Безруков,

В ошибках указаны отпечатки сертификатов

В ошибках указаны три отпечатка сертификатов. 1 из них есть на компьютере со всей цепочкой. 2 остальных вообще не понятные, их нет ни в одном хранилище.

[Роман Безруков]

WSGlebKavash, Get-AdfsSslCertificate их показывает?

[WSGlebKavash]

Роман Безруков,

PS C:\Users\Administrator> Get-AdfsSslCertificate

HostName                           PortNumber  CertificateHash
--------                           ----------  ---------------
trainzcity.myftp.org                  443      3E355750F3657382137BD9BEAE9DBC98CFB57C15
localhost                             443      3E355750F3657382137BD9BEAE9DBC98CFB57C15
trainzcity.myftp.org                 49443     3E355750F3657382137BD9BEAE9DBC98CFB57C15


PS C:\Users\Administrator>

Вот этот сертификат:

При этом в ошибках появляются ещё и такие отпечатки: "15A2C978FEC3EEE42D19082C33289429720E9E01" и "E0E137AA97371D25D65F42DE990CAC4653946DE0". Таких сертификатов на компьютере нет.

[WSGlebKavash]

Роман Безруков, В чём вообще может быть причина такого поведения?

Answer 1

[Вася Пупкин]

Если в домене не поднят AD CS, где нужно будет сделать запрос и выдать новый сертификат серверу, то обычно это делается на локальном IIS через раздел "сертификаты".

Answer 2

[Роман Безруков]

чаще требуется замена Service Communication Certificate (остальные серты могут быть self-signed, ну или не включен AutoCertificateRollover) - меняем по классике:
1. в машинное хранилище добавляется PFX-сертификат (при этом не забываем про корневой/промежуточные, если они требуются новые)
2. шатаем Default Web Site в IIS
3. Через консоль AD FS Management или PowerShell меняем серты в ADFS