Você deve publicar um aplicativo IIS legado que usa Autenticação Integrada do Windows para usuários da internet via Azure AD Application Proxy. O aplicativo está hospedado em dois sites locais diferentes. Requisitos: usar pré-autenticação do Azure AD com MFA de Acesso Condicional, rotear cada aplicativo publicado para conectores em seu site local e fornecer SSO para o backend via Kerberos Constrained Delegation (KCD). Qual configuração você deve escolher?

A opção correta atende a todos os requisitos. Criar dois grupos de conectores, um para cada site, garante que cada aplicativo publicado seja roteado para os conectores em seu site local, otimizando o tráfego. A pré-autenticação do Azure AD com MFA de Acesso Condicional é explicitamente solicitada. O SSO via KCD é necessário para a Autenticação Integrada do Windows (IWA) e exige a configuração do SPN do aplicativo de backend na conta de computador do servidor conector. As opções incorretas falham em um ou mais requisitos: Usar um único grupo de conectores não garante o roteamento por site e o Passthrough não atende à pré-autenticação do Azure AD. Passthrough e SSO baseado em cabeçalho não atendem aos requisitos de pré-autenticação do Azure AD e KCD. SSO baseado em senha não é compatível com IWA e KCD é explicitamente solicitado. SSO baseado em SAML não é o método correto para IWA.