Когда пользователь аутентифицирован в системе и получал токен, на этом токене содержится ли информация о том, на какие объекты есть доступ?
Есть две штуковины:
(1) аутентификация,
(2) авторизация.
Не путайте их. Они разные, хоть и живут рядом.
Первая - о том, кто вы такой, и чем докажете, что это действительно вы.
Вторая - о том, что вам разрешено делать.
Гуглите по запросам "что такое TGT" и "Что такое DACL".
Благодарить не нужно.