Чем удобно администрировать workgroup в локальной сети?

active directory

Ничем.

AD была придумана именно для этого. Централизованное хранение логинов и паролей - это просто одна из ее функций, основное, чем она сильна - это как раз GPO, которые дают возможность только что бантиком не завязать :)

AD можно завести на линухе, но сам пока не пробовал, хотя очень хочу посмотреть как это выглядит.

В рабочей группе?
Советую домен. Его можно поднять не обязательно на винде.
Но если что не так - софта на самом деле полно, сложность будет в том, что ограничить админа в правах при таком раскладе очень просто.

manageengine.com/products/desktop-central
25 PC - Free
ну или рубоард