Wie können Systeme (Laptops), die sich nicht in der Domäne befinden, nur mit dem Benutzernamen und dem Kennwort eines Active Directory-Benutzers auf dieselben Netzwerkressourcen zugreifen?
Dies hängt davon ab, um welche "Netzwerkressourcen" es sich handelt. Auf einem Windows-Computer mit Domänenbeitritt, bei dem Sie angemeldet sind, sind mindestens zwei Client-Kerberos-Identitäten im Spiel:
- Sie, Benutzer @ DOMAIN
- der Computer, Workstation $ @ DOMAIN
Es gibt auch Host / Workstation @ DOMAIN, aber das ist im Allgemeinen die Identifizierung eines Dienstes, der auf dem Host ausgeführt wird und von einem anderen Ort aus aufgerufen wird. Wenn ein privilegierter Prozess auf dem Host etwas tun möchte - beispielsweise seinen Namen mithilfe von Kerberos-authentifiziertem dynamischem DNS zu DNS hinzufügen -, verwendet er dazu seine Identität, Workstation $ @ DOMAIN. Wenn Sie in Ihrer Anmeldesitzung jedoch selbst auf eine Ressource zugreifen - beispielsweise auf eine CIFS-Netzwerkfreigabe oder eine authentifizierte HTTP-URL -, ist die Clientidentität Ihr Hauptname user @ DOMAIN (Anmeldeinformationen, die für Sie mithilfe der automatisch erfasst werden Passwort, das Sie eingegeben haben, um sich anzumelden). Aus Ihrer Frage geht hervor, dass es sich um eine Kombination handelt. es ist nicht, sie sind getrennt.
Aus diesem Grund ist es kein Problem, mit Kerberos von anderen Plattformen aus auf Windows-basierte Ressourcen zuzugreifen. Sie können auch "kinit user" in eine Linux-Box eingeben, Ihr Kennwort eingeben, um einen Kerberos-Berechtigungsnachweis (TGT) von einem Domänencontroller abzurufen, und dann mit Firefox auf eine von Kerberos authentifizierte Webseite in IIS zugreifen. Die Protokolle für all dies sind Standard und Sie benötigen nichts außer Ihren Benutzeranmeldeinformationen.
In einer früheren Antwort wurde behauptet, dass in diesem Fall NTLM erforderlich ist. das ist falsch (obwohl es sicherlich verwendet werden kann). Wenn Sie jedoch von einem Computer außerhalb der Domäne auf eine Ressource zugreifen und zur Eingabe Ihres Benutzernamens und Kennworts aufgefordert werden, wissen Sie nicht unbedingt, welche Authentifizierungsmethode tatsächlich verwendet wird. Möglicherweise wird Kerberos verwendet. Es kann auch einfach auf einen kennwortbasierten Mechanismus zurückgreifen, bei dem Ihr Benutzername und Ihr Kennwort zur Überprüfung an den Server gesendet und dann Ihr Kennwort zwischengespeichert werden, damit Sie es nicht erneut eingeben müssen. Viele Protokolle ermöglichen beides über Abstraktionsschemata wie SASL. Sie müssten auf den Draht schauen, um zu sehen, was los ist.