Реализация доменной авторизации силами Node.js

Разрабатывается ERP приложение, работающее со следующими сущностями: организации, их субсидиарии, департаменты, юзеры и т.д. Аутентификация реализуется с использованием OIDC протокола. Приложение такого рода предполагает сложную систему прав доступа к/изменения/удаления некоторой информации об указанных сущностях.

Есть желание организовать права доступа таким образом, чтобы каждый домен (это может быть организация, ее дочка, какой-то департамент) имели некий базовый набор прав и пермишенов, а конкретные сотрудники/юзеры, к этому домену привязанные, наследовали бы эти полномочия и, при необходимости, расширяли их бы какими-то собственными, специфичными правами.

Какие есть распространенные варианты реализации такого сценария? Особенно интересуют те, что есть для Node.js/PHP.