Я недавно протестировал один и тот же сценарий, и он работал хорошо, я включил проверку подлинности Windows и impersonate = true на обоих сайтах, затем, как только пользователь вошел на первый сайт, он может сделать запрос на второй сайт, а затем запустить запрос к базе данных SQL Server, все с одинаковыми учетными данными.
Но я застрял, когда помещал сайты на разные физические серверы, учетные данные больше не передавались на второй сайт, поэтому я получил ошибку 401 при отправке запроса с 1-го сайта на 2-й сайт. Удивительно, но это произошло только с FireFox, даже если это запрос сервер-сервер (Fiddle не смог перехватить этот запрос).