EJBから外部クラスのオブジェクトにファイル操作を委譲したとしても、
その時使われるセキュリティポリシーはEJBが動作してるVMの物と同じじゃないの？

やべ適当に書いたらまずかったか