Appunto perchè
dove mettere quel pezzo di codice
non è banale in jsf.
Devi creare un buona vecchia FilterServlet e gestire li il fatto se l'utente è loggato allora può andare avanti o pure deve loggarsi.
Qui c'è la documentazione su come configurare l'applicazione per usare il jaas.