ответ нашел: ActiveController перед тем как ответить на тот или иной запрос проверяет, есть ли у этого пользователя права на этот экшен. А права пользователей у меня были неопределены, ровно как и класс юзера. Эту проблему я решил просто перегрузкой функции beforeAction(), которая проверяет это дело.