Я еще слышал про acegi . Он вроде бы основан на JAAS. Но точно не знаю, не использовал. Думаю для многих задач сгодится JAAS. Под томкатом легко настроить. Надо только указать , что будет использоваться JAASRealm и указать классы для UserPrincipal и RolePricipal, в доках томката об этом написано.
Вот книжка еще толковая http://jaasbook.com/ Можете почитать, там как раз приводятся примеры на томкате.

Кстати не обязательно использовать JAAS. Tomcat уже предоставляет несколько своих Realm'ов. Так соответствие имен пользователей и паролей можно хранить в xml файле (tomcat-users.xml если правильно помню), можно в БД в таблице определенного вида, в LDAP. Почитайте доки к томкату там об этом довольно хорошо написано. Выбираете Realm который вам больше всего подходит, а дальше прописываете в web.xml метод аутентификации (например FORM) и задаете при помощи тэга security-constraints (если правильно помню) каким пользователям какие шаблоны урл можно смотреть.

А в index.jsp просто пишете request.isUserInRole("someRole"); (или request.getRemoteUser() чтоб имя пользователя узнать) и в зависимости от того есть у пользователя роль или нет, делаете соответствующий редирект на страницы. А дальше уже контейнер сам будет следить за тем, чтоб пользователю показывать только то, что прописано в security-constraints.

если нужна универсальность - используйте JAASRealm. Придется написать свой LoginModule и UserPrincipal с RolePrincipal. JAAS поддерживается я думаю всеми серверами приложений. Oracle Application Server, Sun App Server, WebSphere App Server точно поддерживают. При переходе на другой сервер надо будет просто прописать в конфигурационных файлах информацию про свои реализации интерфейсов JAAS. Единственное что в Sun App сервере надо будет немного переписать код. Там нужно свой логин модуль наследовать от сановского, но думаю это больших проблем не принесет.

кстати acegi насколько я слышал умеет работать со многими серверами приложений.