Proxy mit AD Authentifizierung

Hallo zusammen,
ich bin auf der Suche nach einem Webproxy für unser Unternehmen.
Allerdings haben wir eine Anforderung die alle anderen Übertrifft:

Es gibt bei uns zwei Gruppen.
Gruppe A: darf surfen
Gruppe B: darf nicht surfen

Der Proxy soll eine SSO AD Authentifizierung haben.

Meldet sich nun jemand aus Gruppe B an dem Rechner an wird automatisch seine Anmeldung an den Proxy durchgereicht.
Kommt jetzt jemand aus Gruppe A und muss "nur mal eben schnell" im Internet etwas nachschauen, müsste er sich theoretisch am Rechner abmelden und wieder mit seinem User anmelden und hinterher wieder abmelden.

Ich benötige also nun bei jedem Aufruf des Browsers ein Authentifizierungs Fenster des Proxy Servers. Es soll aber nicht bei jedem Webseitenaufruf, sondern nur bei jedem Neuaufruf des Browsers erscheinen.

Wir haben aktuell eine Trend Micro IWSVA im Einsatz. Eigentlich hätten wir hier gerne solche Authentifizierungslösung DAVOR.
Früher ging sowas super mit nem ISA/TMG und X-forwared-For HTTP Headern. Seit dem das abgekündigt wurde fehlt mir hier ne Alternative.

Ich bin über jeden Rat Dankbar

Gruß
Streichholz

PS: wichtig sei noch gesagt: Die Originalen Benutzerinformationen müssen am Proxy ankommen auch wenn davor eine andere Auth-Lösung steht.