это мое предложение:
я думаю, что вы должны рассчитывать ACL, ресурсы, роли динамически,
пример {md5 (siteuser или cmsuser + module + controller) = случайное число для каждой роли}
и простой плагин, если бы эта роль была допущена к этому ресурсу
или вы можете создать как Unix-стиль, но я думаю, что эта идея требует много испытаний
однажды я создам такую же в ZF :)
Надеюсь, моя идея поможет вам