В общем случае явно заданный запрет имеет преимущество над явно заданным разрешением. И вот здесь нужно проверять - если Группе А явно разрешена публикация в веб, то что присходит с группой Б? Если явный запрет, то Вася не сможет публиковать. Если же стоит "Not set", то сможет. Я склоняюсь к тому, что если стоит настройка "Только нескольким группам безопасности", то всем остальным не выставляется никакой флаг = Not Set.
Ну вот я поэтому вначале и написал про направление копания, это может только автор посмотреть, а не мы с тобой. А пример с Васей - это вот как раз про одну учетку. С последним утверждением согласе, тк то, что работает у тебя, вполне может не работать у других