具有本地AD Windows身份验证和远程第三方WebApi的WPF的体系结构？

Question

方案是我们希望没有登录的台式机WPF应用程序（即，针对本地AD使用Windows身份验证）。支持应用程序的WebApi位于云中，当前针对应用程序内用户数据库使用Jwt。

对于混合身份验证，最好的方法是什么？本地AD中的用户可以自动进入应用程序，并且还可以满足WebApi中的身份验证/授权要求？

我需要将AD同步到AppDb吗？ （可能会皱眉） 我需要使用某种代理来部署应用程序以对Web客户端进行身份验证吗？

基本上，用户商店有两个独立的授权机构，如果有可能，我不确定将它们粘合在一起的最佳方法。