U moet een verouderde IIS-applicatie die gebruikmaakt van Windows Integrated Authentication publiceren naar internetgebruikers via Azure AD Application Proxy. De app wordt gehost op twee verschillende on-premises sites. Vereisten: gebruik Azure AD-voorauthenticatie met Conditional Access MFA, routeer elke gepubliceerde app naar connectors in de lokale site, en bied SSO aan de backend via Kerberos Constrained Delegation (KCD). Welke configuratie moet u kiezen?

De correcte optie voldoet aan alle vereisten. Twee connectorgroepen, elk gekoppeld aan een site, zorgen ervoor dat verkeer naar de dichtstbijzijnde connector wordt gerouteerd, wat de prestaties verbetert en redundantie biedt. Azure AD-voorauthenticatie met Conditional Access MFA is een expliciete eis. KCD met de SPN op het computeraccount van de connectorserver is de standaard en meest veilige methode voor SSO met Windows Integrated Authentication via Application Proxy. De andere opties voldoen niet: Eén connectorgroep voor beide sites zou geen optimale routering bieden. Passthrough-authenticatie voldoet niet aan de eis van Azure AD-voorauthenticatie met MFA. Passthrough-authenticatie voldoet niet aan de eis van Azure AD-voorauthenticatie met MFA. Header-based SSO is niet geschikt voor Windows Integrated Authentication. Wachtwoordgebaseerde SSO is niet geschikt voor Windows Integrated Authentication en voldoet niet aan de KCD-eis. SAML-gebaseerde SSO is niet de juiste methode voor een verouderde IIS-applicatie die Windows Integrated Authentication gebruikt.