Здравствуйте, elmal, Вы писали:

E>Как только я делаю именно то, что хочу, то есть аннотирую метод @RolesAllowed(value = ["admin", "user"]) -

Я так на вскидку могу только подсказать, что в Spring Security по-умолчанию добавляется префикс "ROLE_". И, не уверен, но кажется оно и case-sensitive.
Я бы покопал в эту сторону, может всё просто?