Подскажите как правильно организовать аудит
 

Нужно чтобы со всего домена (1000 хостов, 4 КД) данные по авторизации определённой группы пользователей складывались в одно место... т.е. к примеру

28,10,10 10:00, администраторы домена/администратор, домен/компьютер

тут сопутствующий вопрос... если пароль учетки уже захеширован будет ли компьютер при наличии сети всё равно давать отчет о логине?

Включите "Аудит событий входа в систему" и "аудит управления учетными записями".
Мониторинг событий на 4х КД можно организовать силами Powershell (результаты можно складывать в одно место - текстовый файл, например).
Если учетка хеширована, то сработает только "аудит входа в систему" на локальном ПК, пока не будет попыток сетевого доступа под этой учетной записью.

Проще, как мне кажется, ограничить крутую группу правом входа на узкий круг ПК, имеющих нормальную защиту или разрешить вход только по смарт-карте.

Может быть Вы могли бы сформулировать исходную задачу - и тогда Вам смогут предложить какое-нибудь другое приемлемое решение...