Wcf 当客户端计算机不是域的成员时，是否可以对IIS使用基于AD的客户端证书身份验证？

场景：我们有一个位于Windows Active Directory域中的服务器，它实现了一个web服务API，使用WCF实现，并通过HTTPS上的IIS 8公开。向web服务发出请求的客户端不在域中。但是，它们应该通过SSL客户端证书映射到AD用户。也就是说，当发出HTTP请求时，它们包括一个客户端证书，我希望该证书映射到相应的AD用户

我知道IIS支持两种方式的客户端证书身份验证，以及。我真的希望在我们的场景中使用AD方法，因为它使客户端证书的管理更容易（我们可以将证书映射到AD中的用户，而不是IIS配置中的用户）

但是上面链接的文件说,

[使用Active Directory的客户端证书身份验证]要求IIS 7服务器和客户端计算机是Active Directory域的成员[…]

这表明我们不能使用这种方法，因为我们的客户端计算机不是AD域的一部分。然而，这对我来说真的没有意义。服务器如何知道发出HTTPS请求的客户端是否在同一个域中

---

因此，这里有一个问题：我们是否可以在AD域之外的客户机上使用Active Directory进行客户机证书身份验证？

我们现在有机会在AD域之外的机器上实现和测试我们的解决方案。事实上，它可以工作-客户端计算机不必是域的一部分，这里的文档似乎是错误的