Renovar o certificado de assinatura SAML

Os certificados de assinatura SAML duram 730 dias. Uma renovação mal coordenada faz com que uma aplicação deixe de aceitar as respostas, por isso a troca é feita em duas fases.

Como sei que está a expirar?

Em «Gerir» › «Aplicações SAML», o «Certificado de assinatura» mostra a data de fim, por exemplo «Válido até 31/12/2027». A 60 dias do fim, a consola avisa: «Este certificado expira dentro de 60 dias: adicione o seguinte e atualize todas as aplicações.»

Como renovo?

1. Peça à equipa que opera o serviço que adicione o próximo certificado. A consola e os metadados passam a mostrar também o «Próximo certificado de assinatura». As respostas continuam assinadas com o atual.
2. Dê o novo certificado a cada aplicação: carregue o PEM («Transferir certificado (PEM)») ou, nas aplicações que leem os metadados, atualize-os.
3. Quando todas as aplicações tiverem o novo certificado, a equipa de operação passa a assinar com ele.

Uma aplicação esquecida deixa de aceitar as respostas a partir desse momento.

Uma aplicação diz "assinatura inválida"

A aplicação tem um certificado antigo. Compare a impressão digital SHA-256 mostrada na consola com a configurada na aplicação e carregue o certificado atual.

E o Microsoft 365?

A federação Microsoft 365 tem a sua própria chave e renovação. Ver Federar um domínio Microsoft 365.