场景：现有 WCF 服务 X 在 Domain_A 中的计算机上运行。该服务依赖于模拟，因此必须具有 Windows 身份。ASP.NET 网站在不属于域的机器上运行（它是 DMZ）。它需要调用服务 X，最好（尽管不是必须）使用 net.tcp 绑定。
根据我对 SO 的类似问题的理解，无法在 WCF 中跨域使用 Windows 身份验证。如果我使用不同的机制（即证书），这是否意味着仍然无法向服务 X 提供可用于模拟的凭据？或者证书可以以某种方式映射到 Domain_A 上的帐户？
我能看到的唯一其他解决方案是在 Domain_A 上创建网站可以连接到的附加服务 Y（无需模拟），然后使用 Y 的身份将请求路由到服务 X。但是，那感觉真的很笨拙。
有没有人对此有更聪明的解决方案？