andreymx,
Было дело, для отчетности на реляционной базе делали разграничение доступа к данным на основе таблички-справочника, в которой содержится перечень разрешенных категорий для каждого логина.
В отчете SSRS определяется логин того, кто запускает отчет, по параметру UserId. На основе логина и таблички-справочника определяется список доступных данных, который передается дальше для фильтрации.
(получилось типа аналога динамической роли как в многомерных базах данных, только я тогда о них не знала)

Особых требований с точки зрения безопасности не было, поддерживалось легко, дергать админов БД и AD не приходилось.

Группы безопасности AD тоже использовались, но для разграничения доступа к папкам/разделам отчетов на SharePoint, т.е. пользователи в зависимости от вхождения в группы могли иметь или не иметь доступ к специальным папкам отчетов.