[cameron]

пользователь перелогонился после манипуляций с группами?

[__sa__nya]

cameron, да. Если включить в группу restricted_rights сразу пользователя, то он получает запрет. Но так управлять разрешениями неудобно, а если включить группу, в которую входят пользователи - то запрета они не получают.

[El Scorpio]

Я чего-то не понимаю, или глобальные группы безопасности не наследуют разрешения своих групп-контейнеров ? »

Формирование списка вложенных групп производится не при каждом обращении пользователя к объекту, а при логине пользователя.
Сделайте выход/вход и проверьте ещё раз.