Le autorizzazioni sono effettivamente cumulative, non esiste un conflitto in tal senso. L’autorizzazione ereditata più alta vince sempre. Posso essere aggiunto a un gruppo che mi permette di vedere una categoria e anche a un altro che mi permette di contribuire.
Perché avresti bisogno di escludere un gruppo a meno che tu non abbia anche esplicitamente concesso l’accesso tramite un’altra appartenenza?