Принцип проверки групповых ACL в SquidGuard - pfsense

[viberua]

В Active Directory есть группы, для которых настроенны групповые ACL.
Но иногда есть необходимость каким-то определенным пользователям кроме стандартных прав описанных в существующих ACL, предоставить доступ к другим ресурсам.
Предполагал, что для них в AD создам необходимую группу, создам в групповых ACL еще ону политику, и будут работать обе политики (каждая свои правила) для пользователей которые состоят в этих группах.
Но судя из описания, если происходит совпадение источника то правило из ACL выполняется и дальше не проходит.
Как можно тогда реализовать функционал, если некоторым пользователям нужны доп. ресурсы, кроме тех что разрешены в общих группах?