关于OAuth 认证的问题

Question

看了OAuth认证的相关资料，但是有些疑问，希望大家帮忙解答一下：

1. Authorization Server 如果要跟资源服务器分离，两者如何通信以确定用户省份？

2. 如上图MRBS和BPM作为Client，仅仅存储用户操作所产生的数据，我希望用用户的工号或者是身份证号作为关联，实现一个号码登录多个系统操作。那么Client如何验证用户权限？

3. 用户通过Client拿到Access Token 以后获得的用户数据，如何在会话期间持久化，当退出系统，则销毁？

看了单点登录的思路，解决方案是使用Redis 共享Session，但这里不是很理解，Client如何通过Session ID获取用户数据，如果是从资源服务器上通过API的方式获取，是不是意味着每次跳转都要获取一次。