>>210
アプリケーション層

アプリケーションロジックじゃなくドメインロジックとして捉える考え方もあるだろうけど
アプリロジックとしてアプリケーション層にまとめておいたほうが何かとスッキリしやすい

認可サービスという独立したBounded Contextのアプリケーションを作って
その中のドメイン層で扱うというやり方もある(WindowsのActive Directory的なもの)が
一般的なアプリだとオーバーキルになる