На RailsConf я увидел молниеносный разговор о Lockdown и был очень впечатлен. Любой, у кого скромное количество опыта работы с дб и рельсами, может запустить свою собственную систему ACL, но Lockdown выглядит неплохо, потому что он пытается не допускать проблем с разрешениями.
http://lockdown.rubyforge.org/
Ранее я использовал role_requirement, но не копал его.