Я вот как раз для микросервислв недавно организовал такую схему:
Firebase/JWT
Сам собираюс права в токен, у каждого микросервиса своя группа прав. Чтобы меньше занимали места в токене права сделал группами и битами. Т.е. условно ключ 'users': [0,1,0,0] имеет 4 бита прав где 0 отсутствие и 1 присутствие. Порядок означает какое именно право. Т.е. 0 индекс массива это создание, потом чтение и т.д