[Busla]

Пусть все учетки/пароли хранятся/меняются в AD. И файловый сервер при аутентификации/авторизации пользователей пусть тоже обращается к AD, но сам при этом членом AD не является. Можно так сделать? »

нельзя

Либо выводить это файловый сервер в отдельный лес и настраивать доверие. Тогда получится и пользователей авторизовывать через Kerberos, и доменным админам не дать никаких возможностей управления.

Можно. Делай файловый сервер на Линуксе. »

в таком случае при входе на файл-сервер пользователи будут передавать свои доменные пароли этому линуксовому серверу, а тот в свою очередь будет их проверять по LDAPs