Sie müssen eine ältere IIS-Anwendung, die Windows Integrated Authentication verwendet, über den Azure AD Application Proxy für Internetbenutzer veröffentlichen. Die App wird an zwei verschiedenen lokalen Standorten gehostet. Anforderungen: Verwenden Sie die Azure AD-Vorauthentifizierung mit Conditional Access MFA, leiten Sie jede veröffentlichte App an Konnektoren am jeweiligen lokalen Standort weiter und stellen Sie SSO für das Backend über Kerberos Constrained Delegation (KCD) bereit. Welche Konfiguration sollten Sie wählen?

Diese Option erfüllt alle Anforderungen. Zwei Konnektorgruppen pro Standort stellen sicher, dass jede App an Konnektoren am jeweiligen lokalen Standort weitergeleitet wird. Die Veröffentlichung der App pro Standort und die Zuordnung zur entsprechenden Konnektorgruppe ermöglicht die standortspezifische Konnektivität. Die Vorauthentifizierung mit Azure Active Directory ermöglicht die Verwendung von Conditional Access MFA. KCD mit dem Backend-App-SPN auf dem Computerkonto des Konnektorservers ist die korrekte Methode für SSO mit Windows Integrated Authentication. Die Option mit einer einzigen Konnektorgruppe und Passthrough-Vorauthentifizierung erfüllt nicht die Anforderungen für standortspezifisches Routing und MFA. Die Option mit Passthrough-Vorauthentifizierung und Header-basiertem SSO erfüllt ebenfalls nicht die Anforderungen für MFA und KCD. Die Option mit passwortbasiertem SSO ist nicht für Windows Integrated Authentication geeignet. SAML-basiertes SSO ist für ältere IIS-Anwendungen, die WIA verwenden, nicht die primäre Methode.