SSO d'entreprise intranet pour les webapps contre Active Directory

J'essaie de planifier et de mettre en œuvre une solution SSO dans un environnement d'entreprise qui sert des applications web intranet fonctionnant sous CentOS :

• Portail d'entreprise (backend Drupal)
• Gestion de projet (Project.NET)
• Système de collaboration documentaire (Alfresco)
• Helpdesk (Redmine)
• Suivi des problèmes (Atlassian Jira)

L'authentification est mise en œuvre avec succès contre Active Directory par le biais de LDAP, car ces applications sont prises en charge par la boîte ou par un plugin.

Étant donné qu'il n'existe pas de plugin ou de module SSO natif stable pour toutes les applications web ci-dessus, je penche pour un déploiement de Shibboleth comme fournisseur d'identité et solution SSO. Comme je ne suis pas sûr que cela soit adapté à la situation donnée, je voudrais poser la question suivante :

• Shibboleth peut-il servir d'intermédiaire pour fournir une connexion SSO dans ce schéma ?

Active Directory <= Créances de domaine <= Shibboleth \=> Identité => Connexion à l'application

• Pour autant que je sache, l'authentification fournie par Shibboleth à l'application est en fait réalisée par la configuration du serveur web (Apache, Tomcat etc.). Ce type d'authentification ne fournit que la permission de visualiser le contenu d'une page donnée ou peut s'intégrer complètement à l'authentification de l'application (comme l'authentification LDAP) ?
• Si la connexion d'identité ci-dessus fonctionne réellement, les fonctionnalités de l'application pour un utilisateur authentifié fonctionneront toujours comme si l'utilisateur était normalement connecté avec ses informations d'identification du domaine ? (par exemple, Redmine prend en charge la création de compte à la volée pour une première connexion réussie d'un utilisateur du domaine).