Roles no Tomcat

Olá gente, sou nova no uso do Tomcat e estou tento uns probleminhas para criar o security-contraint no web.xml do meu tomcat.

Essa é a parte do meu web.xml onde estão definidos os constraints:

<web-resource-collection>
  <web-resource-name>JAAS Teste 1</web-resource-name>
  <url-pattern>/teste1/*</url-pattern>
</web-resource-collection>
<auth-constraint>
  <role-name>guest</role-name>
</auth-constraint>

<web-resource-collection>
  <web-resource-name>JAAS Teste 2</web-resource-name>
  <url-pattern>/teste2/*</url-pattern>
</web-resource-collection>
<auth-constraint>
  <role-name>user</role-name>
</auth-constraint>

Estava fazendo uns testes com o JAASRealm e tudo correu bem até eu tentar restringir o acesso de partes do meu site de teste. Parece que o tomcat ignora os constraints, por ex. se eu logar com o usuario que só possui o role ‘guest’, ele permite o acesso desse usuario ao dir teste2, que teoricamente só poderia ser acessado por um usuario com o role ‘user’.
Alguem pode me dizer porque o tomcat estaria fazendo isso? Como é o jeito certo de configurar o web.xml pra varios roles?

Obrigada!

PS. Meu JAASRealm está atribuindo so roles certos para os usuarios, o que quer dizer que não é problema do usuário estar com roles a mais, eu já testei isso.