Die Frage war für mich, wie bekomme ich die Rechte zentral verwaltbar. Wenn die Rechte in den Modulen verwaltet werden, weis man hinterher nicht mehr, wer wie wo etwas erlaubt.
Zudem sind die Gruppen zwangläufig immer etwas grob. Entstehen neue Funktionalitäten und damit auch neue Benutzerrollen, dann wird es mit den Gruppen schwierig...
Meine Lösung war, alle Aktionen (übrigens auch Upload) über den zentralen "Event"-Dispatcher zu steuern und die Aktionen aus den Modulen "auslesbar" (HandlerHash) zu machen.
Wenn ich jetzt ein neues Modul "einklinke" hat niemand ein Recht auf das Modul bis die Aktionen explicit für einem User zugelassen werden.