Аутентификация в AD внешнего актёра по сертификату

Есть SOAP-сервис. В виде BinarySecurityToken'а приходит сертификат X509, которым подписывается тело сообщения. Нужно провести аутентификацию актёра при том, что данные по нему (в том числе сертификаты) могут лежать только в AD. Если бы актёр присылал username+password, то можно было бы сделать bind под известным системе аккаунтом и найти по присланному username соотв-ю запись. Потом rebind под ней, и по результатам него принимать решение по аутентификации. Однако, как сделать bind в AD имея на руках только публичный ключ сертификата - понятия не имею. Можно ли делать bind в AD по публичной части сертификата? Если нет, то как лучше провести аутентификацию?