Предложение добавить поле "Группа прав" для сущности

[Алексей Алейников]

Нам очень нравится ваш продукт, мы хотели бы его более активно использовать, а также заниматься продажами услуг доработки на базе вашего продукта.
Уже продолжительное время у нас стоит вопрос, касающийся необходимости доработки разработчиком следующей части CRM Руководитель:

Цель.
После авторизации нового пользователя администратор (автоматизированные действия скрипта или имеющий на это права пользователь) добавляет новому пользователю одну или несколько групп прав "Бенефициар", чтобы этот новый пользователь видел только те записи сущностей, которые под этой группой прав разрешены. Запрет даже на просмотр чужих записей сущности, должен быть жёстким - то есть авторизация под одним бенефициаром не должна позволять видеть записи сущности, добавленные под другим бенефициаром.

Проблемы.
1. Мы эту цель реализовали так, что бенефициар устанавливается как группа прав. Если работать под этой группой прав, всё работает штатно, однако если открыть любую запись, будучи авторизованным под администратором, группа прав (бенефициар) слетает. Пришлось дописать скрипт присвоения бенефициара к конкретной записи, когда пользователи жалуются, что что-то пропало. С этой проблемой боремся постоянно, получается администратору опасно заходить в записи и решать какие-то другие проблемы пользователей.
2. Записи не может изменить кто-либо (не администратор), если он не автор, а внутри бенефициара есть начальник, который должен иметь на это права.

Пожелание по доработке.
Было бы прекрасно, если бы можно было добавлять поле с группой прав пользователей, чтобы это поле ограничивало действия пользователей с конкретными записями сущностей, и позволяло настройкой прав регулировать права пользователей внутри этой группы прав, для чего можно создать дополнительный подчинённый этому полю справочник, который управляется этой группой прав.
Ну, и ждём какого-то варианта встречного предложения, чтобы избавиться от вышеперечисленных проблем.
Заранее благодарим.

[support]

Вместо групп пользователей, попробуйте использовать Правила видимости. Документация https://docs.rukovoditel.net.ru/index.php?p=82

[Алексей Алейников]

Мы их и используем...
И получаем вышеуказанные проблемы....
Бенефициар за счет группы доступа - как глобальный доступ от организации, а видимость записей как локальный доступ, для ролей пользователей внутри организации.
Так называемый RBAC здесь усложнен еще внутренней иерархией прав