Hallo Leute.

Ich benutze ein Identity Management System welches User, Gruppen, Rollen und Berechtigungen besitzt.
Berechtigungen sind an Rollen gebunden (N:M). Diese Rollen werden dann Gruppen oder Usern zugewiesen, wobei diese auch mehrere Rollen bekommen können. User können mehreren Gruppen zugewiesen werden und erben dadurch die Rollen der Gruppe. Berechtigungen können nicht direkt an User oder Gruppen gegeben werden -- nur über Rollen.
So weit so gut.

Nun habe ich ein Objekt dass unter speziellen Bedingungen von Gruppen gelesen/bearbeitet werden kann. Diese spezielle Berechtigungen lässt sich nicht durch eine Rolle abbilden, da sie nur genau für dieses eine Object gilt.

Beispiel wie es in meiner Problemstellung vorkommt:
Eine Fotogalerie.
Es gibt User/Gruppen, die über ihrere Rolle auf jedes Fotoalbum zugreifen dürfen.
Dann gibt es User/Gruppen, die nur über eine bestimmte Berechtigungen für das Fotoalbum zugreifen können, die nur eben für dieses eine Fotoalbum gilt. Hierbei wird unterschieden in lesen/schreiben/downloaden.
Es reicht wenn hier nur die Berechtigungen über die Gruppe laufen. Spezielle Zugriffsverwaltung für User wird nicht benötigt.


So: Wie bilde ich dieses Problem nun am besten ab und modelliere es in einer MySQL DB?
User, Rollen, Gruppen, Berechtigungen werden über many-to-many Relationships gelöst.


Bin für Hilfe dankbar.