Фреймворк для управления разрешениями доступа к динамически добавляемым объектам

Стоит задача в управлении доступом к объектам, которые добавляются в БД. Получение этих данных производится по REST. Помимо этого требуется иметь иерархическую модель доступа. Например: /api/diagrams - deny, но есть диаграмма с id = 1, к которой пользователь имеет доступ, /api/diagrams/1. И наоборот, /api/diagrams/1 - deny, /api/diagrams - allow. Плюс наложить на всё роли доступа (Чтение, Изменение, добавление/удаление), с последним получается справиться при помощи keycloak, также смотрел в сторону apache shiro