Vergabe von mehreren Rollen an User

ist deine Sache

insofern kannst du eine beliebige Rechtekonstelleation vergeben.

Bei der Definition muss man beachten, dass Rechte nur erweitert, aber niemals reduziert werden können, und alle User zunächst die Rolle "Authenticated User" erben.

Bei einem komplexen Gebilde, werden die Rollen entsprechend umfangreich.

Gerade weil sich nicht kaskadiert werden können, bleibt es aber (einigermaßen) übersichtlich, was wer kann.

Wichtig ist eigentlich nur, dass der Authenticated User die maximale Einschränkung bekommt.

ich denke ich habe mich nicht so gewählt ausgedrückt ... es geht nicht um die permissions, die in den Rollen verankert werden, also sowas wie "View publish content" oder so ... ich nutze die Rollen als Mittel um Buchseiten mit Zugriffsrechten zu versehen.
Das heisst, dass eine Buchseite eine bestimmte Produktrolle bekommt (die Rolle ist also komplett leer, keine Permissions), die Rolle wird pro Buchseite mit ContentAccess gesetzt.

Damit kann diese Buchseite nur derjenige User sehen, der auch diese Produktrolle besitzt.
Und meistens ist es so, dass die internen MA natürlich fast alles sehen können dürfen und entsprechend viele dieser Rollen zugewiesen bekommen.
Kunden bekommen zwar meistens weniger, aber eben auch manchmal zwei oder drei auf einmal ....

vielleicht ist es jetzt ein wenig deutlicher ...

TDI

Also so ganz leuchtet mir noch nicht ein, wieso Du das so machst, aber Rollen kannst Du ja z.B. auch mit Rules vergeben... wenn der Nutzer XY angelegt wird oder irgendwas bestimmtes tut, kann eine entsprechende Rule ausgelöst werden und mithilfe einer Aktion "Benutzerrolle hinzufügen" können beliebig viele Rollen hinzugefügt oder entfernt werden.

Aber mir klingt das so, als wenn ACL besser wäre (https://drupal.org/project/acl) - damit kann per Content Access einzelnen Nutzern Zugangsberechtigung per Node gegeben werden... ist vielleicht besser, als für jede Buchseite eine extra Rolle zu erstellen (so habe ich das jetzt verstanden)

es gibt ein Handbuch für ein Produkt und dafür wird eine Rolle vergeben, also für jede Buchseite die Rolle A. Das heisst wir haben ca. 40 Produkte, also dafür 40 Handbücher und somit 40 Rollen.

Das beschriebene Anwendungs-Szenario würde ich nicht über Rollen lösen. Wenn schon jetzt 40 Produkte jeweils mit einer Rolle versehen werden, dann korrespondieren damit wahrscheinlich auch 40 Nodetypes oder 40 andere individuelle Node-zu-Rolle Verknüpfungen. Das klingt nach einem Konfigurations-Alptraum, vor allem, weil das Risiko immer größer wird, daß Drupal beim Verarbeiten des riesigen (und unübersichtlichen) Rollen-Rechte-Formulars leicht abstürzen kann (Timeout), vor allem wenn auch noch die Anzahl der Rechte ansteigt aufgrund von mehr Modulen. Letzteres lässt sich mit "Faster Permissions" verbessern. Prinzipiell könnte man dafür ein neues Modul schreiben, aber da gibt es sicher auch bessere Wege. Die oben beschriebenen Probleme würden sich noch vergrößern, wenn es mal irgendwann mehr Produkte werden sollen, die Lösung also skalieren muss.
Ad hoc wäre das z.B. auch eine Aufgabe für Organic Groups (OG), bei der je ein Produkt eine Gruppe wird und die Leserechte per Gruppen-Zugehörigkeit gelöst wird. Man könnte das so konfigurieren auch mit ein paar Template-Tricks, daß die Benutzer das nicht wirklich mitbekommen, daß Sie in besagten Gruppen sind. Eine OG-Lösung könnte später auch funktional skalieren, wenn man z.B. mal mehr als nur eine Handbuch-Lese-Funktion pro Produkt möchte und evtl. auch ein Forum, eine Benachrichtigungsfunktion usw. Man z.B. könnte auch einen Premium-Support für Kunden der Produkte organisieren. Denn OG ermöglicht eine separate Rollen-Rechte-Zuordnung pro Gruppe. Und auch OG ist komplett mit Rules steuerbar.

sondern um individuelle Einzelzugriffsrechte.
Das ist ein ganz anderes Konzept, das auf lange Sicht zu einem großen Verwaltungswust werden muss, und nur sehr schwer handlebar ist.

Hier ist wirklich angezeigt, sich nochmals Gedanken zum Konzept zu machen.

Ich denke auch, das klingt eher danach, als wenn ein eigenes Modul angezeigt wäre. oder aber eben das ACL-Modul, das ich schon mal erwähnt habe. Probier das doch mal aus, ich denke, das passt am besten und ist am unkompliziertesten