Sie müssen eine lokale HR-Webanwendung, die die integrierte Windows-Authentifizierung verwendet, im Internet veröffentlichen. Benutzer sollen sich mit Microsoft Entra ID authentifizieren und Single Sign-On für die App mit ihrer Kerberos-Identität erhalten. Das Unternehmen verfügt über zwei Rechenzentren und möchte die Latenz minimieren, indem es Connectors verwendet, die den App-Servern am nächsten liegen. Was sollten Sie tun? (Wählen Sie drei)

Um die HR-Webanwendung mit integrierter Windows-Authentifizierung im Internet zu veröffentlichen und Single Sign-On mit Kerberos zu ermöglichen, sind mehrere Schritte erforderlich. Das Installieren von Application Proxy-Connectors in jedem Rechenzentrum und das Erstellen separater Connector-Gruppen, denen die HR-App zugewiesen wird, minimiert die Latenz, indem Anfragen an den nächstgelegenen Connector geleitet werden. Die Vorauthentifizierung auf Azure Active Directory (Microsoft Entra ID) stellt sicher, dass Benutzer sich zuerst bei Entra ID authentifizieren, bevor sie auf die Anwendung zugreifen können. Die Konfiguration der eingeschränkten Kerberos-Delegierung (KCD) auf dem Computerkonto des Connector-Servers für den HTTP SPN der Backend-HR-App ist entscheidend, damit der Connector im Namen des Benutzers ein Kerberos-Ticket an die HR-Anwendung anfordern kann, was das Single Sign-On ermöglicht. Die Option, die App für die Passthrough-Vorauthentifizierung zu konfigurieren, ist falsch, da Passthrough keine Vorauthentifizierung durch Microsoft Entra ID bietet und somit kein Single Sign-On mit Kerberos ermöglicht. Das Aktivieren des formularbasierten SSO ist ebenfalls falsch, da die Anwendung integrierte Windows-Authentifizierung und Kerberos verwendet, nicht formularbasiertes SSO.