Wenn APIAdmin entweder auf auf / oder /nodes/{node} die Sys.Audit oder Datastore.Audit Berechtigungen hat dann sollte das zumindest für GET /api2/json/nodes/{node}/disks/list klappen, ja.
Für POST /api2/json/access/ticket haben API Tokens nie die Berechtigung.