È necessario pubblicare un'applicazione IIS legacy che utilizza l'autenticazione integrata di Windows per gli utenti di Internet tramite il proxy dell'applicazione di Azure AD. L'applicazione è ospitata in due diversi siti on-premise. Requisiti: utilizzare la pre-autenticazione di Azure AD con MFA di accesso condizionale, instradare ogni applicazione pubblicata ai connettori nel proprio sito locale e fornire SSO al backend tramite Kerberos Constrained Delegation (KCD). Quale configurazione si dovrebbe scegliere?

La configurazione corretta soddisfa tutti i requisiti. Creare due gruppi di connettori, uno per ogni sito, garantisce che ogni applicazione sia instradata ai connettori nel proprio sito locale. La pubblicazione dell'applicazione per sito e la mappatura al gruppo di connettori corrispondente garantiscono il corretto routing. L'impostazione della pre-autenticazione su Azure Active Directory abilita l'MFA di accesso condizionale. La configurazione dell'SSO tramite KCD con l'SPN dell'applicazione backend sull'account computer del server connettore fornisce l'SSO richiesto per l'autenticazione integrata di Windows. Le opzioni errate non soddisfano tutti i requisiti: Un singolo gruppo di connettori non consente il routing specifico per sito. La pre-autenticazione Passthrough non abilita l'MFA di Azure AD. La pre-autenticazione Passthrough non abilita l'MFA di Azure AD. L'SSO basato su header non è adatto per l'autenticazione integrata di Windows. L'SSO basato su password non è adatto per l'autenticazione integrata di Windows e non è sicuro come KCD. L'SSO basato su SAML non è il metodo corretto per fornire l'SSO a un'applicazione IIS legacy che utilizza l'autenticazione integrata di Windows.