Есть 3 основных правила

• Администратор может всё
• Преподаватель имеет полный доступ к курсу
• Студент имеет ограниченные права к курсам, на которые он подписан

Нужно проверить везде graphql-запросы и интерфейс, чтобы скрыть то, что пользователи не могут видеть