RDGateway NTLM SSO（搭配Azure应用代理）的SSO实现问题求助

我最近把RDS部署通过Azure应用代理对外发布，目标是搭建一套完全基于Microsoft 365的SSO远程应用环境，结果卡在了RD Gateway的SSO环节，想请教下有没有大佬能给点思路。

目前已经搞定的部分：通过配置Azure应用代理的KDC SSO，再加上在IIS里开启Windows身份验证，RDWeb的HTML5网页客户端已经能正常实现SSO登录了，这部分没什么问题。

但现在的核心问题是：当HTML5客户端连接RD Gateway的时候，它用的是NTLM协议而不是Kerberos，这就导致之前配置的KDC SSO完全失效——说真的，微软一直喊着要逐步淘汰NTLM，结果这里反而用上了，实在有点离谱。

有没有大佬遇到过类似的情况？或者有什么办法能让网页客户端到RD Gateway这一步也实现SSO？要是能打通这个环节，整个登录流程就太顺畅了，任何建议我都愿意尝试！

备注：内容来源于stack exchange，提问作者iWantToknow