Вам необходимо опубликовать устаревшее приложение IIS, использующее встроенную аутентификацию Windows, для интернет-пользователей через Azure AD Application Proxy. Приложение размещено на двух разных локальных площадках. Требования: использовать предварительную аутентификацию Azure AD с MFA условного доступа, маршрутизировать каждое опубликованное приложение к коннекторам на его локальной площадке и обеспечить SSO к бэкенду через Kerberos Constrained Delegation (KCD). Какую конфигурацию следует выбрать?

Правильный ответ соответствует всем требованиям. Создание двух групп коннекторов, привязанных к площадкам, обеспечивает маршрутизацию трафика к локальным коннекторам для каждого приложения. Предварительная аутентификация Azure AD с MFA условного доступа удовлетворяет требованию безопасности. Настройка единого входа (SSO) с использованием KCD с SPN бэкенд-приложения на учетной записи компьютера сервера коннектора позволяет использовать встроенную аутентификацию Windows для устаревшего приложения. Остальные варианты не подходят, потому что: Использование одной группы коннекторов для обеих площадок не обеспечит маршрутизацию к локальным коннекторам. Предварительная аутентификация Passthrough не соответствует требованию Azure AD с MFA. Предварительная аутентификация Passthrough не соответствует требованию Azure AD с MFA. SSO на основе заголовков не подходит для встроенной аутентификации Windows. SSO на основе паролей не подходит для встроенной аутентификации Windows и KCD. SAML-based SSO не подходит для встроенной аутентификации Windows.