Experimentell :ja
Hat bestimmt noch niemand so probiert/ gebraucht, also ist es erstmal ein Versuch!
Oscam.services für die User anlegen: z.B. nicht [skyall] sondern [klaus]
Dahinein nur die Sender kopieren, die der haben darf.
Dann kannst Du die dem zuweisen, per oscam.user und er kann zwar alle anfragen, bekommt aber nur die aus seinem Account.
was kommt den über den cccam reader rein? in jedem fall darf aus meiner sicht jeder reader nur einer group zugeordnet sein. in diesem fall würde ich vorschlagen den D02 als group = 2 zu konfigurieren.
die services kann man meiner erfahrung nach problemlos jedem user individuell zuordnen.
in deinem beispiel sollte bei den usern halt group = 2 eingetragen werden (wie gesagt keine ahnung was über den cccam link in der group 1 reinkommt).
dann über den services eintrag beim user direkt die zu blockenden services eintragen, eh wie du's gemacht hast.
aus meiner sicht liegt das problem an der falschen group config.
viel erfolg!