![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(182.40000000000003, 52%, 27%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EHD%3C/text%3E%3C/svg%3E)
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(172.8, 86%, 26%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EJN%3C/text%3E%3C/svg%3E)
Ahoj Horak David,
To, co popisujete, je poměrně častý problém při automatickém rolloveru token-signing certifikátu v AD FS. Některé relying party aplikace nebo externí partneři totiž dál ověřují tokeny pomocí původního certifikátu, a proto selhává SSO autentizace. Doporučeným postupem je zajistit, aby partneři používali federation metadata AD FS a pravidelně je aktualizovali, takže se nový podpisový certifikát načte ještě předtím, než začne být aktivní.
V prostředích, kde partneři podporují automatickou aktualizaci metadat, obvykle celý proces proběhne bez problémů. U business-critical aplikací bych se ale nespoléhal pouze na automatický refresh. U klíčových relying party aplikací a externích partnerů doporučuji ověřit interval aktualizace metadat a informovat je o plánovaném rolloveru s dostatečným předstihem. Zároveň je vhodné monitorovat AD FS logy a ověřit, že se nový token-signing certifikát objeví ve federation metadata ještě před jeho aktivací.
Pokud partneři používají certifikáty importované manuálně, je nezbytné mít koordinovaný proces komunikace a distribuce certifikátů. Mnoho organizací proto udržuje runbook pro rollover certifikátů, který zahrnuje včasné upozornění partnerů, validaci metadat, testování a následné ověření po dokončení rolloveru. Tím lze minimalizovat riziko výpadku SSO. Otestování nového certifikátu na menší skupině relying party aplikací ještě před plánovaným datem rolloveru navíc pomůže včas odhalit případné problémy s kompatibilitou.
Doufám, že vám tyto informace pomohou při řešení problému. Pokud pro vás byla odpověď užitečná, klikněte prosím na „Accept Answer“, abych věděl, že odpovídá na váš dotaz.
Jason