[Arquillian et JEE] Comment tester la sécurité des EJB (authentification, autorisations, rôles, etc.) ?

Bonjour,

Je ne parviens pas à tester un EJB annoté de différents @DenyAll, @PermitAll, @Roles dans ses méthodes, en utilisant Arquillian.
Je n'ai pas trouvé de code d'initialisation simple me permettant de la manière la plus neutre possible de créer à l'initialisation de mes tests :
- des utilisateurs
- des rôles et des groupes.

Puis de me loguer.

Parfois je trouve des fragments de solutions sur Internet, mais très souvent ils sont accompagnés d'une plainte de leur propre auteur sur les difficultés qu'il a.
Parfois aussi, du code spécifique (ProgrammaticLogin pour Glassfish, par exemple) m'est proposé, et je ne sais pas si c'est la bonne solution : cela rendra les tests moins portables vers un autre container EJB.

Êtes-vous déjà parvenus à tester de la sécurité EJB avec Arquillian ?

Merci !
Grunt.

A voir ce très bon Tutorial avec des exemple et du code source :
http://antoniogoncalves.org/2012/01/...-what-you-run/

Cette page ne parle pas des habilitations avec Arquillian et Glassfish, mais détaille comment tester un EJB de manière générale. C'est de ma faute. En lisant mon message, tu as peut-être pensé que c'était l'appel d'un EJB qui me posait un problème. C'est vrai que la première fois, il faut réussir le paramétrage mais cela ne me pose plus de problèmes.
Ce qui m'embête c'est : comment déclarer des utilisateurs, des groupes et des rôles, s'authentifier comme étant un de ces utilisateurs juste avant de lancer un test EJB "glassfish embedded" ?

C'est pas l'appel de l'EJB qui est problématique : c'est tout ce qu'il faut parvenir à faire initialiser à Glassfish ou à Arquillian avant, pour permettre que le test s'exécute avec le profil que je veux, et tente alors d'appeler une méthode plus ou moins limitée.

En ce moment, je me débat avec ces liens là :
Celui-ci qui cherche à paramétrer les utilisateurs et groupes à partir d'Arquillian.
et tout le monde semble morfler à faire des essais.

et comme j'essaie de me faire des tests unitaires "Proof of Concept" pour m'autoformer alors que je connais peu de choses dans ce domaine de la sécurité, je suis noyé.
En Arquillian et Glassfish remote, je pourrais peut être y arriver (et encore, je me sens un peu prétentieux) en assurant tout le paramétrage par la console d'admin.
Mais ce serait pénible. Parce que tous mes autres tests Glassfish parviennent à fonctionner en Embedded, et il n'y a pas à dire : c'est pratique.