Recherche:

oui.
je sais pas si tu auras toutes les infos, mais c'est un bon depart

Je n'ai parle que de l'affichage pour les JSP (fantaisie ergonomique).
C'est vrai qu'il extremement preferable de gerer les droits d'acces dans tes EJB (dans le cas où tu as plusieurs interfaces...

tout a fait.

et d'aileurs, tes JSP devraient decider d'elles meme en fonction des droits de l'utilisateur si elle affichent tel ou tel onglet

Personnellement, je ne suis pas sur qu'inclure les droits applicatifs dans ton modele soit une bonne idee...

Je prefere laisser le serveur gerer les problemes d'authentification/authorization et...