¿De qué manera los sistemas (computadoras portátiles) que no están en el dominio pueden acceder a los mismos recursos de red utilizando solo el nombre de usuario y la contraseña de un usuario del directorio activo?
Depende de qué "recursos de red" estén involucrados. En una computadora Windows unida a un dominio en el que haya iniciado sesión, hay al menos dos identidades Kerberos de cliente en juego:
- usted, usuario @ DOMINIO
- la computadora, la estación de trabajo $ @ DOMAIN
También hay host / workstation @ DOMAIN, pero generalmente es la identificación de un servicio que se ejecuta en el host, al que se accede desde otro lugar. Si un proceso privilegiado en el host quiere hacer algo, por ejemplo, agregar su nombre a DNS utilizando DNS dinámico autenticado por Kerberos, utilizará su identidad para hacerlo, estación de trabajo $ @ DOMAIN. Sin embargo, si en su sesión de inicio de sesión accede a algún recurso usted mismo, digamos un recurso compartido de red CIFS o una URL HTTP autenticada, entonces la identidad del cliente es su nombre principal, usuario @ DOMINIO (credenciales para las que se adquieren automáticamente mediante el contraseña que ingresó para iniciar sesión). De su pregunta, parece pensar que hay alguna combinación involucrada; no lo son, están separados.
Es por eso que no hay problema al usar Kerberos para acceder a recursos basados en Windows desde otras plataformas. También puede escribir "kinit user" en un cuadro de Linux, ingresar su contraseña para obtener una credencial Kerberos (TGT) de un controlador de dominio y luego usar Firefox para acceder a una página web autenticada por Kerberos en IIS. Los protocolos para todo esto son estándar, y no necesita nada excepto su credencial de usuario.
Una respuesta anterior afirmó que se requiere NTLM en este caso; eso es falso (aunque ciertamente puede usarse). Sin embargo, cuando accede a algún recurso desde una computadora que no es de dominio y se le solicita su nombre de usuario y contraseña, no necesariamente sabe qué método de autenticación se está utilizando realmente. Podría usar Kerberos. También podría recurrir a un mecanismo basado en contraseña mediante el cual envía su nombre de usuario y contraseña al servidor para su verificación, y luego guarda en caché su contraseña para que no tenga que volver a ingresarla. Muchos protocolos permiten ambos mediante esquemas de abstracción como SASL. Tendrías que mirar en el cable para ver qué está pasando.