А если поставить вопрос по другому: какой маньяк будет заниматься раздачей/корректировкой прав на 3 млн. объектов?
Может быть все-таки у этих объектов есть общие свойства, которые можно выразить с помощью SQL-запросов?

У нас работает примерно такая модель:

Для каждого вида объектов можно определять разные права.
Права отличаются друг от друга описанием и могут быть
как стандартного типа ('Select', 'Insert', 'Update', 'Delete' - обрабатываются базовыми классам),
так и специфического (обрабатываются наследниками).

Каждое право содержит соответствующую ему строку select,
которая используется следующим образом:
если тип права - 'Select', то прицепляется к условию Where,
если 'Insert', 'Update' или 'Delete' то select выполняется при соответствующей модификации объекта
и результат проверяется (если нет fetch, тогда говорим - 'Нет прав').
То есть может быть много прав одного типа, отличающихся описанием и строками select.
Разнообразие прав ограничено только фантазией и возможностями SQL.

Затем эти права раздаются пользователям/группам и автоматически проверяются при всех их действиях.
Если право не дано, то действие не разрешается.
Если пользователю даны несколько прав одного типа (на один вид объектов),
то проверяем все по очереди, пока не удовлетворит
(при 'Select' несколько строк соединяются с 'or').