您必須透過 Azure AD Application Proxy 將使用 Windows 整合式驗證的舊版 IIS 應用程式發佈給網際網路使用者。該應用程式託管在兩個不同的內部部署站台中。要求：使用 Azure AD 預先驗證搭配條件式存取 MFA，將每個已發佈的應用程式路由到其本地站台中的連接器，並透過 Kerberos Constrained Delegation (KCD) 為後端提供 SSO。您應該選擇哪種組態？

正確答案描述了實現所有要求的最有效方法。為每個站台建立連接器群組，可確保應用程式流量路由到其本地站台的連接器，從而優化效能和可用性。Azure AD 預先驗證結合條件式存取 MFA 提供了所需的安全性。Kerberos Constrained Delegation (KCD) 透過連接器伺服器電腦帳戶上的服務主體名稱 (SPN) 配置，為使用整合式 Windows 驗證的後端應用程式實現了無縫的單一登入 (SSO)。其他選項不符合所有要求：使用單一連接器群組會導致跨站台流量；Passthrough 預先驗證不提供 Azure AD 預先驗證和 MFA；基於標頭或密碼的 SSO 不適用於整合式 Windows 驗證，或不提供 KCD 的安全性；基於 SAML 的 SSO 不適用於舊版 IIS 應用程式。