>[оверквотинг удален]
> Есть машина с ip 192.168.10.14 на ней работает сотрудник Ivanov, авторизация NTLM,
> в самс выгружен из AD.
> сначала создаем правило
> acl some_ip src 192.168.10.14
> затем указываем запрет на запись логов с этого ip в файл access.log
> log_access deny some_ip
> И логи на этого сотрудника перестают писаться в самс, точнее сказать, что
> логи перстают писаться с машины. Не зависимо от того кто и
> под какой учеткой на ней работает, логи с этих пользователей перестают
> отображаться.

Решение найдено, тему можно закрывать