Olá novamente pessoas! 
Consegui resolver parte do meu problema (ao menos autoriza agora!).
O que eu fiz:
1- Criei uma página login.jsp com o seguinte form:
<form method=“POST” action=“j_security_check”>
Usuário: <input type=“text” name=“j_username” size=“15”>
Senha: <input type=“password” name=“j_password” maxlength=“20” size=“15”>
<input type=“submit” value=“Enviar”/>
</form>
2- Criei uma página error_login.jsp com o seguinte form:
<form method=“POST” action=“j_security_check”>
Usuário ou senha incorretos.
Usuário: <input type=“text” name=“j_username” size=“15”>
Senha: <input type=“password” name=“j_password” maxlength=“20” size=“15”>
<input type=“submit” value=“Enviar”/>
</form>
3- Configurei no WEB.XML da minha aplicação web:
<login-config>
<auth-method>FORM</auth-method>
<realm-name>myjaas</realm-name>
<form-login-config>
<form-login-page>/jsp/security/login.jsp</form-login-page>
<form-error-page>/jsp/security/error_login.jsp</form-error-page>
</form-login-config>
</login-config>
<security-constraint>
<web-resource-collection>
<web-resource-name>home</web-resource-name>
<url-pattern>*</url-pattern>
<http-method>GET</http-method>
<http-method>POST</http-method>
</web-resource-collection>
<auth-constraint>
<role-name>LOGADO</role-name>
</auth-constraint>
</security-constraint>
<security-role>
<role-name>LOGADO</role-name>
</security-role>
4 - Dentro de sua aplicação web, dentro da pasta WEB-INF, crie um xml com o nome de jboss-web.xml com o seguinte conteúdo:
<?xml version="1.0" encoding="UTF-8"?>
<jboss-web>
<security-domain>java:/jaas/myjaas</security-domain>
</jboss-web>
5 - Dentro do diretório home do jboss, na pasta ‘jboss-4.2.3.GA\server\default\conf’ coloque dentro do arquivo login-config.xml, dentro da tag policy:
<application-policy name = "myjaas">
<authentication>
<login-module code="br.com.seguranca.MeuLoginModule" flag = "required">
</login-module>
</authentication>
</application-policy>
6 - Crie um .jar com uma classe que estenda a classe UsernamePasswordLoginModule (classe de uma biblioteca do jboss). Não sei se é necessário, mas na dúvida eu dei o nome do meu jar com o mesmo nome da application-policy name (mas acho que isso não é necessário não: myjaas.jar):
package br.com.seguranca;
import java.security.acl.Group;
import java.util.Map;
import javax.security.auth.Subject;
import javax.security.auth.callback.CallbackHandler;
import javax.security.auth.login.LoginException;
import org.jboss.security.SimpleGroup;
import org.jboss.security.SimplePrincipal;
import org.jboss.security.auth.spi.UsernamePasswordLoginModule;
public class MeuModuleVida extends UsernamePasswordLoginModule {
// protected SimplePrincipal p;
public LoginModuleVida() {
super();
}
@Override
public void initialize(Subject subject, CallbackHandler callbackHandler,
Map sharedState, Map options) {
super.initialize(subject, callbackHandler, sharedState, options);
}
@Override
protected String getUsersPassword() throws LoginException {
return "paula";
}
@Override
protected boolean validatePassword(String inputPassword,
String expectedPassword) {
boolean isValid = false;
if (inputPassword != null) {
try {
String username = getUsername();
isValid = true;
} catch (Throwable e) {
e.printStackTrace();
super.setValidateError(e);
}
}
return isValid;
}
@Override
protected Group[] getRoleSets() throws LoginException {
SimpleGroup userRoles = new SimpleGroup("Roles");
userRoles.addMember(new SimplePrincipal("LOGADO"));
Group[] roleSets = { userRoles };
return roleSets;
}
}
7 - coloque este jar dentro do diretório lib ‘jboss-4.2.3.GA\server\default\lib’.
PRONTO.
Desta forma consegui que o jaas fizesse a autenticação e autorização a partir do meu código.
Lá está hardcode a senha e as roles. Mas desta forma posso substituir o hardcode por uma pesquisa no banco de dados.
MAS AINDA FICA UMA DÚVIDA:
Como implemento isto sem necessariamente ter que usar a biblioteca do jboss, ou seja, usando só bibliotecas do java?
Pois implementando só com bibliotecas do java, o jboss só autentica, mas não autoriza.
ALGUÉM SABE ME DIZER O PORQUE???
Valew!!!