Ovviamente la sessione (utente) la gestisce il tuo programma, a meno che non ti appoggi al jaas del tuo application server.
Nel tuo primo posto lo facevi
codice:
Map<String, Object> map = ectx.getSessionMap();
map.put("utenteInSessione", user);