Das Stichwort hierzu lautet "Single Signon". Dies schließt die Kennwortsynchronisiation mit ein.
Voraussetzung ist dazu aber wohl PWDLVL 2 (langes Kennwort, casesensitive).
Da du ja schon Kerberos hast, sollte es damit auch gehen.