Microsoft TMG 2010 Sp1 переопределит при аутентификации?

У меня есть сервер TMG 2010 SP1, работающий на Server 2008 R2 в конфигурации с одним сетевым адаптером - еще не запущен.

Я разрешаю доступ в Интернет тремя способами:

1. один из методов - использование TMG в качестве шлюза по умолчанию для нашей сети, чтобы устройства, не поддерживающие прокси-сервер для веб-трафика, могли по-прежнему получать доступ к сети (хотя и с фильтрами
2. другой использует TMG в качестве анонимного прокси для отдельного домена / гостевых компьютеров, у которых нет учетных записей в нашем основном домене.
3. другой метод - использовать прокси-сервер для аутентификации клиентов, чтобы легко отслеживать, какой пользователь куда пошел.

Mgmt хочет разрешить сотрудникам отменять ограничения доступа если они аутентифицированы (чтобы мы могли отслеживать, кто куда пошел), чтобы люди могли выполнять свои обязанности без вмешательства ИТ, но если они злоупотребляют этим, мы можем это отслеживать.

Я попытался создать два правила веб-доступа в TMG: одно, которое запрещает доступ, но позволяет переопределить для соответствующей группы AD, другое ниже, которое запрещает и не разрешает переопределение для «Все пользователи». Проблема в том, что даже если пользователь аутентифицирован, он соответствует запросу с правилом непереопределения; как только я отключу правило, они могут переопределить.

Любые идеи о том, как разрешить переопределение только если пользователь авторизован?