- защищенные ресурсы должны находиться в директории не доступной из И-нета (например в папке WEB-INF или за пределами домашней директории)

- доступ к таким ресурсам осуществляется через сервлет или фильтр который проверяет права запрашивающего ресурс (список пользователей с правами хранится или в БД или в XML или в CSV файле, в зависимости от количества пользователей и т. п.). После праверки прав сервлет читает ресурс и отправляет его в поток вывода устанавливая необходимый MIME-тип

Честно говоря, скептически отношусь к framework-ам, 90% возможностей заложеных в Acegi Вам не понадобятся. Соответственно возникает вопрос а стоит ли тратить ресурсы системы на этих универсальных монстров, которые в Вашем приложении будут использовать от силы 10% своего потенциала? Кроме того понадобится некоторое время на изучение этого продукта. Могут всплыть неожиданые грабли и т. д. Сам я этим инструментом не пользовался и не знаю подойдет ли он для Вашей задачи, лучше пусть по этому вопросу выскажутся те, кто пользовался данным продуктом. По моему быстрее, проще и эффективней (с точки зрения производительности конечного продукта), писать самому, тем более что задача довольно простая.