<system.serviceModel>
    <bindings>
      <wsHttpBinding>
        <binding name="wsBinding">
          <!-- Устанавливаем TransportWithMessageCredential: данные будут при этом шифроваться с помощью SSL, данные пользователя заворачиваются в сообщение -->
          <security mode="TransportWithMessageCredential">
            <!-- Для HTTPS доменных прав не требуем -->
            <transport clientCredentialType="None"/>
            <!-- Ожидаем данные пользователя в сообщении -->
            <message clientCredentialType="Windows" />
          </security>
        </binding>
      </wsHttpBinding>
    </bindings>
    <services>
      <service behaviorConfiguration="ServiceBehavior" name="Service">
        <!-- Используем описанную выше конфигурацию -->
        <endpoint address="" binding="wsHttpBinding" bindingConfiguration="wsBinding" contract="IService">
          <identity>
            <!-- !!! Самый важный параметр: здесь должна быть указана учетная запись, под которой работает ИИС !!! -->
            <!-- Данная учетная запись должна иметь права "Impersonate a Client After Authentication" и "Create Global Objects" на сервере -->
            <!-- Для данной учетной записи и учетной записи, под которой работает SQL, нужно настроить SPN -->
            <!-- Как настроить SPN: http://msdn.microsoft.com/en-us/library/ff650896.aspx -->
            <userPrincipalName value="iis_domain_account@corp.company.com"/>
          </identity>
        </endpoint>
      </service>
    </services>
    <behaviors>
      <serviceBehaviors>
        <behavior name="ServiceBehavior">
            <!-- Прячем все хвосты, которые отдаются по http -->
          <serviceMetadata httpsGetEnabled="true" httpGetEnabled="false"/>
          <serviceDebug includeExceptionDetailInFaults="true"/>
        </behavior>
      </serviceBehaviors>
    </behaviors>
  </system.serviceModel>

        <!-- Определяем поведение для эндпоинта -->
        <behaviors>
          <endpointBehaviors>
            <behavior name="DelegationBehavior">
              <clientCredentials>
                <!-- Говорим, что хотим делегировать права, но не хотим не-доменную авторизацию -->
                <windows allowedImpersonationLevel="Delegation" allowNtlm="false"/>
              </clientCredentials>
            </behavior>
          </endpointBehaviors>
        </behaviors>
        <client>
            <!-- назначаем поведение эндпоинту, который сгенерирован студией -->
            <endpoint address="https://appsdev.kie.ua/CCCReports1/Service.svc"
                binding="wsHttpBinding" bindingConfiguration="WSHttpBinding_IService"
                contract="TestService.IService" name="WSHttpBinding_IService" 
                ***behaviorConfiguration="DelegationBehavior"***>
                <identity>
                    <userPrincipalName value="iis_domain_account@corp.company.com" />
                </identity>
            </endpoint>
        </client>

// Идем к сервису
WCFTestService.ServiceClient myService = new WCFTestService.ServiceClient();
// Говорим, с какими данными пользователя будем логиниться в систему
myService.ClientCredentials.Windows.ClientCredential = new System.Net.NetworkCredential(GetUserName(), GetPassword(), GetDomain());
// Указать способ имперсонации и отказаться от Ntlm можно и программно
myService.ClientCredentials.Windows.AllowNtlm = false;
myService.ClientCredentials.Windows.AllowedImpersonationLevel = System.Security.Principal.TokenImpersonationLevel.Delegation;
// Вызываем метод сервиса
MessageBox.Show(myService.GetData(123));
myService.Close();