Autoryzacje - różne role sterujące w zależności od transakcji

[matkell]

Dzień dobry,
dostałem na projekcie temat autoryzacji który jest dla mnie całkowicie obcy, a czas na realizację jest mega krótki.
Sytuacja wygląda tak, że mam już utworzone role proste (odpowiadające scenariuszom biznesowym) i role zbiorcze które grupują role proste do stanowisk. W tych rolach dezaktywowane są już obiekty które będą ujęte w rola sterujących (JG, konta, itd). Testowe role sterujące również działają poprawnie, po ich przypisaniu user dostaje dokładnie takie dostępy jak były pierwotnie założone.

Problemem jest natomiast nowe wymaganie: dostęp do wszystkich raportów dla wszystkich użytkowników. Ma to działać na takiej zasadzie, że użytkownik A ma dostęp do jednej JG i jednego plantu w transakcjach przypisanych do jego stanowiska, ale jednocześnie ma mieć dostęp do wszystkich JG i plantów w inne roli prostej; tej odpowiadającej za raporty.

Jak mogę ograć taki temat? Jeżeli tworzę nową rolę prostą + zbiorczą z uprawnieniami na wszystkie JG to ten dostęp jest rozszerzany na pozostałe procesu, finalnie user ma dostęp do wszystkiego.

Z góry dziękuję za pomoc i pozdrawiam,
Mateusz