我正在开发一个将在国际上使用的系统。我有一个相当标准的基于权限的访问权限，我将对其进行设置。
我的问题是还有一个我不知道如何使用的额外维度。
基本上，该系统将在不同的国家/地区使用。在每个国家/地区可以有多个办事处。如果某人可以访问该国家，那么他应该可以访问所有办事处，但是如果他可以访问一个办公室，那么他就不能访问该国家。
变得越来越复杂，可能会有多个级别的办公室。 （例如：一个办公室包含多个子办公室）。
最后，某人可以访问整个国家，但是可以访问一个特定的办公室。
过去，我曾使用过这样的系统，它们处理起来非常混乱，并且不想犯同样的错误。
您推荐一些良好的做法/读物吗？您将如何实施这样的系统？