EJBのセキュリティチェックで使われるユーザとかロールの情報って
EJBコンテナ固有のデプロイメントツールでいちいち登録するもの
なんですか？これってWeb認証のレルム(JDBCRealmとか)とは全く
別物ですよね？

Web層はレルムの情報で認証して、OKならそのユーザ名でEJBのセキュリティを
チェックして、メソッドの実行可否を決める、みたいなことってできないんですか？

それともWeb層の認証とEJB層の認証はどちらか片方だけやるのが一般的？