Drupal3年やってきてはじめて知ったんですが、カスタム権限の追加方法が案外簡単だったので紹介したいと思います。

カスタム権限の作り方

カスタムモジュールのルートにmy_module.permissions.ymlを作成し、以下のように記入してdrush crするだけ

display xxx:
  title: 'xxxを表示する'
  description: 'xxxを表示します.'
  restrict access: true

権限名の中に変数を入れたい場合はこちらの方法を参照

権限の使い方

作成した権限は/admin/people/permissions　に表示されるので、この権限を適用したい役割にチェックして保存

// 現在のユーザーを取得.
$user = \Drupal::getCurrentUser();
if ($user->hasPermission('display xxx')) {
  // 処理.
}

「ユーザーが〇〇の役割を持っている場合はXXをできる」という要件をコード化する際、

hook_entity_presaveなどで役割チェックしたい対象のユーザーの情報(UserInterface)をもともと持っている場合は単純に以下のように書ける。

if ($user->hasRole('editor')) {
  // 処理
}

ユーザー情報ではなくアカウント情報(AccountInterface)から役割を取得する場合は以下のようになる。（アカウント情報はgetRoles()はあってもhasRoleが無いのでコードが冗長になる。）

$user = \Drupal::currentUser();
if (in_array('editor', $user->getRoles()) {
  //　処理
}

もしくは

use Drupal\user\Entity\User
$account = \Drupal::currentUser();
$user = User::load($account->id());
if ($user->hasRole('editor')) {
  // 処理
}

ユーザー情報でもアカウント情報でもhasPermission()が使える。

$user = \Drupal::currentUser();
if ($user->hasPermission('display xxx')) {
  //　処理
}

常に権限で指定するようにすればアカウント情報を使うときもコードがすっきりするし、役割よりも直接的でわかりやすい。

上記のように役割ベースで処理を分けた場合はソースコードを見ないと実際に誰が何をできるのかがわからないけど、権限ベースにした場合、管理画面から「どんな権限が」「どの役割に割り当てられているか」が確認できる。

として、いきなり「役割→処理」じゃなくて「役割→権限→処理」とワンクッション置くことになる。それによって「○○だけでなく△△の役割の人もXXできるようにしてください」と言われたときにコードをいじることなく役割と権限の紐付けだけ変えればいい等のメリットがある。

（システム開発では何事もワンクッション置く方がいい気がする）

個人的に、とある大規模システムで役割ベースで処理を書きまくった結果、誰が何をできるかパッと思い出せないという状況になってしまって後悔中なので、今後はできるだけカスタム権限を取り入れていきたい所存。