Доброго времени суток, уважаемые ЛОРовчане.
Нужна ваша помощь в решении довольно обширного вопроса.

Есть некая организация (с более 100 АРМ), есть сервера.
Структура следующая:

• Отдел № 1
  • АРМ-1
  • АРМ-2
  • АРМ-3 и т.д.

• Отдел № 2
  • АРМ-4
  • АРМ-5
  • АРМ-6 и т.д.

• Отдел № 3
  • АРМ-7
  • АРМ-8
  • АРМ-9 и т.д.

Ну и так далее, принцип я думаю Вы поняли.
Так вот, посмотрев в Интернете готовые реализации, я наткнулась только на это, но оно через чур замудренное.

Вообще нужно, чтобы АРМ-ы:
1. Использовали авторизацию не локальную, а серверную (это что-то вроде контроллера домена). То есть, пароль можно было менять на сервере, а не на каждом АРМ по отдельности.
2. Все политики и группы также брались с сервера (по принципу Active Directory). Причем допустим для каждого ОТДЕЛА свои права.
3. ПО (нужные пакеты) устанавливались в соответствии с white-list на сервере (сложно объяснить на пальцах). То есть, если в неком white-list прописан определенный пакет, то он автоматически устанавливается на АРМ (в соответствии с назначенными правами и привилегиями).

Прошу Вас, посоветуйте пожалуйста, как и на чем можно это реализовать, хотя бы частично.
И не советуйте реализацию по типу «тонкий клиент-сервер», это не подойдет по аппаратным возможностям сервера.
Я сама не особо знаю о всех существующих системах и пакетах и не особо понимаю, как и на чем можно это все реализовать.

Ах да, чуть не забыла. Реализация на deb-подобной системе.
Спасибо Вам большое заранее за конструктивные и полезные советы!