REST Web服务的身份验证/访问控制的软件体系结构

我正在设置一个新的RESTful Web服务，我需要提供一个基于角色的访问控制模型。我需要创建一个体系结构，该体系结构将允许用户提供用户名和密码来访问服务，然后根据角色限制他们如何使用服务（可以使用哪些服务，读取与读取/写入等）。分配给该用户。

我环顾了其他问题，发现了我想要的东西。例如，关于如何处理将凭证传递到REST服务的静态身份验证，最佳实践等方面，存在许多精彩的讨论。关于创建网站时程序员应了解的知识（每个开发人员在构建公共网站之前应了解的知识），也有一些很好的指导。

但是我找不到关于实现这些解决方案的软件体系结构的最佳实践和模式的好文章，文章和书。

特别：

• 用户信息和访问权限应如何存储？（数据模型，位置，格式）
• 有哪些好的设计模式可以表示和跟踪服务器中的这些模式？（内存中的会话，每次数据库查找等）
• 在代码库中以哪种安全方式将这些权利映射到服务的良好模式是什么？
• 哪些架构选择可以帮助保持系统更安全和可靠？
• 人们从战es中学到了什么？

我正在寻找针对任何特定技术之外的软件体系结构的设计模式和建议。

（如果技术很重要，我计划使用python，twisted和postgresql数据库来实现）

OpenAM。

http://forgerock.com/openam.html

用户信息和访问权限应如何存储？（数据模型，位置，格式）

身份管理器。与任何Web服务器分开。基于LDAP。

有哪些好的设计模式可以表示和跟踪服务器中的这些模式？（内存中的会话，每次数据库查找等）

由您的框架解决。别再想了。只需使用框架已构建好的设计模式即可。

在代码库中以哪种安全方式将这些权利映射到服务的良好模式是什么？

由您的框架解决。每个框架使用略有不同的方法。每种语言都有稍微不同的功能。例如，Django为此大量使用Python的装饰器。

哪些架构选择可以帮助保持系统更安全和可靠？

更多？超过什么？