Хранить ли разрешения в сессии?
NoSQL c хранением данных в RAM
Не надо для этого использовать сессии.
Начните с того, что создайте отдельные модели, которые и будут предоставлять интерфейс получения разрешений для конкретного пользователя, например, что-то типа:
securityManager->can('deletePosts')
И уже потом, если заметите, что база данных узкое место - можно будет внутри этих методов подключить более эффективное кеширование, хоть Redis, хоть Memcache.
Сессии однозначно для этого вам не будут нужны.