шоколад неплох, только придется еще пилить директиву для разграничения прав, если я все верно понял
Я как-то реализовывал ACL через директивы. Это слегка больно, когда список разрешений ширится. Если есть только роли без ACL, то после реализации директив описание схем будет вполне элегантным