Não é possível usar a segurança integrada com o aplicativo netcore no iis instalado como um site

Question

Tenho um pequeno projeto de teste em netcore (2.1.401) que retorna o usuário logado via CNTLM. Implantei-o em um servidor IIS seguindo [este guia]. Também adicionei o site ao arquivo hosts.

Se eu implantá-lo como um aplicativo dentro do site padrão, ele funcionará bem. Mas quando tento fazer isso como um site, com Anonymous authdesativado e Windows authativado, tenho que inserir minhas credenciais várias vezes e finalmente recebo este erro:

HTTP Error 401.1 - Unauthorized

You do not have permission to view this directory or page using the credentials that you supplied.

Detailed Error Information:
Module   WindowsAuthenticationModule 
Notification   AuthenticateRequest 
Handler   aspNetCore 
Error Code   0xc000006d 
Requested URL   http://iis.localhost.net:80/user 
Physical Path   C:\inetpub\wwwroot\iis\user 
Logon Method   Not yet determined 
Logon User   Not yet determined 

Tentei me adicionar ao arquivo web.config, assim:

<?xml version="1.0" encoding="utf-8"?>
<configuration>
    <location path="." inheritInChildApplications="false">
        <system.webServer>
            <handlers>
                <add name="aspNetCore" path="*" verb="*" modules="AspNetCoreModule" resourceType="Unspecified" />
            </handlers>
            <aspNetCore processPath=".\iis.exe" stdoutLogEnabled="false" stdoutLogFile=".\logs\stdout" />
            <security>
                <authorization>
                    <allow users="mydomain\myuser" />
                    <deny users="*" />
                </authorization>
            </security>
        </system.webServer>
    </location>
</configuration>

Estou usando o Windows Server 2016 Datacenter, IIS 10.0.14393.0