Windows Integrated Authentication を使用するレガシー IIS アプリケーションを、Azure AD Application Proxy 経由でインターネットユーザーに公開する必要があります。このアプリは、2つの異なるオンプレミスサイトでホストされています。要件は、条件付きアクセス MFA を使用した Azure AD 事前認証、公開された各アプリをローカルサイトのコネクタにルーティングすること、および Kerberos Constrained Delegation (KCD) 経由でバックエンドへの SSO を提供することです。どの構成を選択すべきですか？

この構成は、すべての要件を満たします。2つのサイトにそれぞれコネクタグループを作成し、各サイトのコネクタをそのグループに配置することで、アプリをローカルサイトのコネクタにルーティングできます。Azure AD 事前認証は条件付きアクセス MFA を可能にし、KCD は Windows Integrated Authentication を使用するレガシーアプリへのバックエンド SSO を提供します。SPN の設定は KCD に不可欠です。 他の選択肢は、要件の一部を満たしません。単一のコネクタグループでは、ローカルルーティングができません。パススルー認証では、MFA を含む Azure AD 事前認証が利用できません。ヘッダーベースの SSO やパスワードベースの SSO は、Windows Integrated Authentication を使用するアプリには適していません。SAML ベースの SSO は、このレガシーアプリではサポートされない可能性があります。