Ich würde zu deinem Lösungsansatz auch eine Einweisung mit einem Test hinzufügen. Wie hier schön öfters gesagt wurde, besteht die Gefahr, das ein R2 User sich mit (/me hackt den Keycard scanner) in die RISA einschleust. Obviously übertrieben dar gestellt, aber ich denke es ist klar worauf ich hinaus will.
Solche Restriktionen wären mit höchster Wahrscheinlichkeit sowieso bei einem Gespräch mit den TEBlern rumgekommen.