Vcs criam grupos de usuários com as permissões que os usuarios devem ou não acessar, e depois passa isso pro ID do usuario ou vcs fazem isso direto no usuario?
Isto depende mais dos requisitos do projeto. No geral você precisa identificar características como as seguintes para definir a estrutura do mecanismo de segurança:
Possibilidade/necessidade de definir perfis comuns entre usuários (por exemplo: em alguns casos as permissões podem ser aplicadas pelo setor do usuário, não necessitando de um cadastro adicional de grupos);
Necessidade de acúmulo de permissões (usuário pode fazer parte de mais de um grupo e acumular permissões);
Se achou este post útil, por favor clique em "Votar como útil". Se por acaso respondeu sua dúvida, lembre de "Marcar como Resposta".