完了しました。テストなどが必要ですが、少なくともベースラインはここにあります。
説明した理由により、別のスコープを使用しました。投稿は許可するがアップロードは許可しない、というような設定をしたい場合があることは十分に理解できます。