Вопрос: Как правильно управлять парком серверов Unix?

Лучший ответ: Приветствую.
Прежде всего, не стоит представлять себе решение задачи, как "большую кнопку", т.к. наши представления об управлении инфраструкурой несколько извращены опытом работы с продуктами MS. Интерфейс скрывает от нас стек ПО используемого для достижения цели. Например, WSUS. Под его капотом находится набор служб, каждая из которых играет определенную роль - bits для загрузки на сервер и доставки пакетов на клиента, веб-сервер для управляющих команд, база данных для хранения состояния клиентов и исправлений, .net приложение, обьединяющее все это. Для парка nix машин вам предстоит построить подобную архитектуру самому, выбирая каждый раз инструмент, который будет играть ту или иную роль.
На втором шаге вам нужно посмотреть на задачу. Если у вас десяток инфраструктурных серверов, то Ansible действительно неплохой выбор. Но только не "скрипт". "Скрипт" - это язык, который говорит как достичь результата. Но инструменты управления конфигурацией избавляют вас от этого, с помощью декларативного языка вы описываете сам конечный результат(это ключевой момент) и не задумывайтесь о том, какой дистрибутив (читай менеджер пакетов, расположение конфигурационного файла) установлен на управляемой системе.
Если вам нужно дать доступ большому количеству пользователей к большому количеству машин, то на первом шаге вам нужно выбрать два инструмента:
1. управление конфигурацией.
2. управление sudo. 
Первый инструмент с натяжкой может предоставить вам возможность решить пункт 2, т.к. в этом втором пункте вам нужно управлять теми самыми политиками: группе пользователей дать доступ на группу машин и разрешить выполнять группу команд. Здесь в игру вступает Identity Manager и этот вопрос для меня по крайней мере, открыт. Текущие тенденции ведут к развертыванию двух каталогов (MS AD и каталог для парка NIX), но не берусь сказать насколько это правильно. Обойтись без второго каталога можно и, если отбросить шелуху, то ключевой проблемой, в таком случае, является сопоставление идентификаторов безопасности пользователей в MS AD и в  nix системах (просто когда один домен, сложнее когда лес, совсем не просто в случае созданных вручную доверительных отношений). Раньше этот вопрос решал winbind с набором библиотек, реализующих тот или иной алгоритм сопоставления, теперь это SSSD, реализующий два алгоритма. Опять же вопрос с выполнением привилегированных команд в такой конфигурации не решается. RedHat предлагает скомпанованные в единый продукт инструменты, которые, якобы эти задачи решают. Поддержкак от этого самого редахата стоит бешеных для нас денег, но вы посмотрите из чего состоят такие решения как Sattelit и IdM, это открытые продукты (FreeIPA, candlepin, pulp, katello, puppet и, наконец, foreman.) которые, возможно вам и нужны.

Худший ответ: "я понимаю можно скрипт написать и запустить через ansible, но это думаю костыль."
"в виндовс ...  все управляется через в 2-3 окнах."
Для начала нужно отбросить шаблоны мышления харакетрные для работающих под виндоус - о том что нужно одно мощное окно, которое кликнешь и оно все сделает. В юниксе совершенно другая концепция, и в серверных технологиях юникса основой интерфейса является ТЕКСТ, например тот же самый  "скрипт" - логический клей, который связывает в единую, нужную нам логику элементы системы. В юниксе у нас есть готовые "модули" и высокоуровневый програмный интерфейс к этим "модулям", причем язык интерфейса каждый волен выбирать на свой вкус, мне например пайтон нравится. Работающие с виндоус решениями привыкли, что им уже все склеили, продали, остается только открыть окно с парой суперкнопок, и хотят увидеть то же самое привычное суперокно в юниксе.  Ээээ. а с чего вдруг? Если вам нравится окошечный интерфейс - пожалуйста, мир виндоус Ваш. Если Вы хотите текстового интерфейса, то для Вас есть мир юникс.  Но не надо говорить, что если интерфейс текстовый, то это костыль.