这是一个有点复杂的场景，所以我会尝试让它尽可能地简单。
环境
我在 Linux 上有一个共享文件系统，我使用 Samba4 将其导出到 Windows 上，用户属于多个组。使用 Active Directory 维护身份验证，并使用 Winbind（Samba 包）实现 Linux 和 Windows 之间的映射。
问题
问题是，我被要求为某些用户群体在双方引入某种安全和限制，以防止用户查看彼此的工作。
可能的解决方案
我能够使用 Linux 中的扩展 ACL 来实现这一点，该 ACL 将在 Windows 中映射（希望通过 Samba 实现且在一定程度上准确）。
相关问题
假设一个用户同时属于组 A（主要组）和组 B。他/她想访问仅限于组 B 的文件。由于组 B 不是他的主要组，这有可能吗？
其他解决方案
我在想是否有其他解决方案。对于如此庞大的文件系统，使用扩展 ACL 维护起来会很麻烦（甚至不可能），所以我正在尝试提出一个更有效的解决方案。
任何形式的建议、帮助、链接等都将不胜感激。