По умолчанию OAuth токены хранятся только в памяти. Для того, чтобы параллельно хранить их базе данных установите свойство cuba.rest.storeTokensInDb в true. Значение свойства хранится в базе данных, следовательно редактировать его можно из экрана Администрирование > Свойства приложения.

Истекшие токены должны периодически удаляться из базы данных. Выражение cron, определяющее расписание процедуры удаления, определено свойством приложения cuba.rest.deleteExpiredTokensCron.