Isso funciona. Envia os logs para /var/log/samba/audit.log No entanto, as mensagens continuam aparecendo em /var/log/syslog. Preciso fazer com que parem de aparecer.
No arquivo syslog.conf, por uma entrada que receba todos os registros da facility local7 e direcioná-las a um arquivo específico. Tipo: local7.* -/var/log/samba/audit.log