カテゴリをプライベートに変換し、特定のグループにアクセス権を持つユーザーを追加する

それは通常、私が好む解決策です。しかし、一括操作の例からページを引っ張ってきて、RailsのUserオブジェクトにwhere句を適用する方が理にかなっているでしょう。(このような時のためにテスト環境を用意しておくと役立ちます!)