Дело тут не в тикетсах (как бы). Вы поймите, в данном случае не проверяются политики в принципе. Ведь он же не смотрит есть у вас права на что-то или нет, он просто смотрит авторизованы вы в этом контексте или нет. В данном случае вы авторизованы только в mgr, и просто из-за того, что он видит, что вы не авторизованы в этом контексте, он вас шлет.