@amyltsev Так, если коротко то токены с system scope нужны только для админстративных задач типа управления сервисами и эндпоинтами в кейстоуне. С ними разбираться не придется, если не пишешь свой инструмент для управления этими вещами.
А дальше есть еще две области видимости - домен и проект. У нас в веб интерфейсе, например, исползуется щас только проект вообще. Потому что домен один, дефолтный.
И выходит что когда ты выпоняешь задачи которые положено выполнять админу, ты авторизуешься просто в родном проекте администратора и все. В скоупе можно указывать домен, а можно и нет. Если, конечно, у тебя домен всего один.