Не знаю, о чём конкретно Вы в данном вопросе говорите, но из опыта разработки различных систем с разграничением прав, могу сказать, что в любой системе для удобства настройки, должны быть разрешительные и запретительные настройки.
По простой причине. Иногда необходимо разрешить всё и запретить действие только с одним объектом. Тогда разрешаем работу (через роль или непосредственно пользователю) работу со всеми объектами (чтобы не перечислять их) или, например, с группой объектов по какому-то признаку. И запрещаем работу с одним конкретным объектом из этой группы. Если не будет запретительной настройки, придется в разрешительной перечислить все объекты кроме одного. А при создании нового объекта не забыть добавить его в список всем, кому надо.
Тоже самое и при обратной настройке - запретить всё и разрешить один объект.