Как реализовать аутендификацию для веб-сервисов?

Сейчас строим корпоративный портал со следующей SOA архитектурой :

Веб формы на ASP.net MVC являются точкой взаимодействия с веб сервисами, представляющими свою логику.
- Веб сервисы могут быть как самописными WCF приложениями на IIS, так и интерфейсами стороннего ПО
- идентификация должна происходить через Active Directory.
-Предполагается использование ролевой модели аутентификации на сервисах и формах.
идентификация, предположительно происходит на портале. Там же подстраивается интерфейс под роль пользователя
Подскажите как организовать идентификацию и аутентификацию по такой схеме?
Копал в сторону SSO, SAML, FIM, ADFS и т.д, но пока не определился с ответом.

Для меня сейчас схема выглядит так - построить в стороне iDp провайдера, раздающего токены по SAML , затем потихоньку наводить порядок в АD и перестраивать его под новые требования.
Не ужели ни у кого нет подобного опыта?