Allora per quanto riguarda l'errore che ti viene fuori è perchè hai sia un file sun-web.xml (vecchio file di configurazione di glassfish) che il glassfish-web.xml, in poche parole ti dice che ignorerà il sun-web.xml e utilizzerà il glassfish-web.xlm, quindi puoi anche rimuovere tale file.
Per quanto riguarda la configurazione dell'applicazione mi sembra corretta (non ci ho perso troppo tempo). Quello che però manca è la configurazione del realm di glassfish.
Ti posto un esempio di jdbc realm configurato:
codice:
 <auth-realm name="jestin-realm" classname="com.sun.enterprise.security.auth.realm.jdbc.JDBCRealm">
          <property name="digest-algorithm" value="SHA-256"></property>
          <property name="user-name-column" value="USERNAME"></property>
          <property name="password-column" value="PASSWORD"></property>
          <property name="group-name-column" value="ROLE"></property>
          <property name="group-table" value="ROLES_USERS"></property>
          <property name="user-table" value="USERS"></property>
          <property name="datasource-jndi" value="jdbc/jestin-security"></property>
          <property name="jaas-context" value="jdbcRealm"></property>
          <property name="charset" value="UTF-8"></property>
          <property name="encoding" value="Base64"></property>
        </auth-realm>