Como não posso adicionar um comentário. Uma pegadinha que eu descobri é que o curinga * .contoso.com não funcionará para dc1.domain.forest.contoso.com. Eu não tinha permissão para usar o curinga em qualquer nível acima (abaixo?) Do nível em que o * está. Portanto, se precisar confirmar adfs.contoso.com e adfs-server.domain.forest.contoso.com, será necessário o certificado de vários domínios em oposição ao certificado curinga.