¿Como se comprueban los permisos locales de archivo?

Saludos:

Cuando inserté mi controlador de dominio en la red no sabía claramente el
control de accesos que iba a realizar. Me explico: he observado que los
equipos que compartían archivos mediante "compartir impresoras y archivos"
siguieron haciéndolo y que podías acceder como usuario local de esos
equipos
a esos recursos compartidos. Por eso me surgen un par de dudas:

¿Quien valida los accesos a un recurso de un equipo concreto? ... supongo
que habrá dos servicios diferenciados, uno que comprueba cada solicitud
recibida contra el controlador de dominio correspondiente y otro que
comprueba los permisos en local, a través de su base de datos de usuarios
locales Ahora las preguntas:

.- ¿Estoy en lo cierto?
.- ¿Tienen puertos diferenciados para la comunicación por red estos
servicios?
.- ¿Tienen los equipos de un dominio que preguntar al controlador cada vez
que reciben una solicitud o poseen alguna copia del directorio para
almacenarla en local?

Gracias por vuestras respuestas!!