1. LDAP (пользователи, логины/пароли, доступ в соответствующие места и т.п.) + Kerberos (ради авторизации через етокены) + NFS (домашние каталоги пользователей). АРМ пользователей - взаимозаменяемы.
политики безопасности в явном виде в линуксе не применялись, делалось настройкой АРМ и расстановкой групп для пользователя (типа - юзер такой-то входит в группу disk, группе disk разрешено монтировать флешки).
В качестве LDAP использовался Centos DS, АРМ - на Debian (образ готовился заранее и тупо заливался на диск при необходимости техподдержкой пользователей). NFS - один сервер на примерно 200 человек, проблемы с производительностью возникали только во время массового включения компов (упирались в iops дисков, а не в сеть).

2. доступ в инет осуществлялся через прокси с авторизацией (см. LDAP). Кого надо - пускаем везде, кого надо - на белый список, остальные идут подальше. Ну и анализ логов, учёт трафика и т.п.

3. журналирование - как настроишь (логи тыканья мышкой вряд ли возможны, логи открытия файлов - применялись). Централизованное хранение - при помощи форвардинга логов в сервер. Практически все syslog'и такое умеют, достаточно прочитать документацию.

4. не видел для установки на каждое рабочее место. По сети - использовался SNORT с кучей правил.

Тут только реорганизация сети поможет, к сожалению. Настоятельно рекомендую разбить эти несколько сот человек на несколько локалок, не связанных между собой напрямую (припоминаю рекомендации примерно 10-летней давности про не более сотни виндов в одной локалке, но не помню, откуда они).
Также однозначно стоит настроить этажные свитчи и снимать с них статистику по каждому из портов, чтобы была возможность определить, где именно проблемы.

Да, libreoffice хочет _библиотеки_ x11 для headless. И нет, это не графика как таковая, если правильно разрулить зависимости.
При этом, под линуксом, пожалуй, только такое решение позволяет получить наиболее точную конвертацию docx-pdf.
Что касается безопасности - особых проблем именно с библиотеками иксов не вижу, основные проблемы всё равно будут с libreoffice.