Aggiungerei che sarebbe anche bene leggere il Security Manager HOW-TO di Tomcat.