我有一个使用OData REST API服务的ASP.NET CORE客户端。两者都托管在IIS的同一域中，其中Windows身份验证是唯一的选择。客户端托管为client.domain.com，REST API托管为api.domain.com。打开客户端时，要求用户首先登录client.domain.com，然后登录api.domain.com。我想将登录凭据从客户端传递到其余的api，因此用户只需登录一次即可。
到目前为止，我唯一看到的解决方案是使用Basic + user + password添加Authorization标头。我更愿意使用Negotiate / NTML，但是如何创建令牌？在客户端和Rest API之间处理Windows身份验证的最佳实践是什么？